BDU:2024-10105

Опубликовано: 17 нояб. 2024

Источник: fstec

CVSS3: 7.8

CVSS2: 6.8

EPSS Средний

Описание

Уязвимость утилиты needrestart связана с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю выполнить произвольные shell-команды с правами root

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Наименование ПО

Ubuntu

Debian GNU/Linux

Astra Linux Special Edition

needrestart

Версия ПО

16.04 (Ubuntu)

18.04 LTS (Ubuntu)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

22.04 LTS (Ubuntu)

24.04 LTS (Ubuntu)

1.8 (Astra Linux Special Edition)

24.10 (Ubuntu)

до 3.8 (needrestart)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Canonical Ltd. Ubuntu 22.04 LTS

Canonical Ltd. Ubuntu 24.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Canonical Ltd. Ubuntu 24.10

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,8)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций

Для библиотеки needrestart:

https://github.com/liske/needrestart/commit/0f80a348883f72279a859ee655f58da34babefb0

Для Ubuntu:

https://ubuntu.com/security/CVE-2024-11003

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-11003

Для ОС Astra Linux:

обновить пакет needrestart до 3.6-4+deb12u3+ci202412051952+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-11003
CVE

EPSS

Процентиль: 96%

0.21155

Средний

7.8 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2024-11003

CVSS3: 7.8

ubuntu

около 1 года назад

Qualys discovered that needrestart, before version 3.8, passes unsanitized data to a library (Modules::ScanDeps) which expects safe input. This could allow a local attacker to execute arbitrary shell commands. Please see the related CVE-2024-10224 in Modules::ScanDeps.

CVE-2024-11003

CVSS3: 7.8

nvd

около 1 года назад

CVE-2024-11003

CVSS3: 7.8

debian

около 1 года назад

Qualys discovered that needrestart, before version 3.8, passes unsanit ...

GHSA-9f4h-r2c7-m6w4

CVSS3: 7.8

github

около 1 года назад

EPSS

Процентиль: 96%

0.21155

Средний

7.8 High

CVSS3

6.8 Medium

CVSS2