Описание
Уязвимость обработчика netrc-файлов утилиты командной строки cURL связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к учётным данным при условии HTTP-перенаправления на другой ресурс
Вендор
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
АО «ИВК»
АО «НТЦ ИТ РОСА»
Daniel Stenberg
АО «НППКТ»
ООО «Ред Софт»
Oracle Corp.
Наименование ПО
Debian GNU/Linux
Astra Linux Special Edition
Альт 8 СП
РОСА ХРОМ
cURL
ОСОН ОСнова Оnyx
РЕД ОС
Database Server
Версия ПО
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
- (Альт 8 СП)
12.4 (РОСА ХРОМ)
1.8 (Astra Linux Special Edition)
от 6.5 до 8.11.1 (cURL)
до 2.13 (ОСОН ОСнова Оnyx)
8.0 (РЕД ОС)
3.8 (Astra Linux Special Edition)
до 3.1 (ОСОН ОСнова Оnyx)
до 19.27 (Patch 37591516) (Database Server)
до 19.27 (Patch 37591483) (Database Server)
Тип ПО
Операционная система
Прикладное ПО информационных систем
СУБД
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «ИВК» Альт 8 СП -
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
АО «НППКТ» ОСОН ОСнова Оnyx до 2.13
ООО «Ред Софт» РЕД ОС 8.0
ООО «РусБИТех-Астра» Astra Linux Special Edition 3.8
АО «НППКТ» ОСОН ОСнова Оnyx до 3.1
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование «белого» списка IP-адресов для организации удалённого доступа к хостовой операционной системе;
- использование средств межсетевого экранирования уровня веб-приложений для предотвращения попыток эксплуатации уязвимости;
- использование виртуальных частных сетей для организации удаленного доступа (VPN);
- мониторинг HTTP-запросов;
- отключение функционала использования netrc-файлов в сочетании с перенаправлением на другие ресурсы.
Использование рекомендаций:
Для cURL:
https://curl.se/docs/CVE-2024-11053.html
https://curl.se/docs/CVE-2024-11053.json
Для Debian GNU Linux:
https://security-tracker.debian.org/tracker/CVE-2024-11053
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Обновление программного обеспечения curl до версии 7.88.1-10+deb12u12~osnova2u1
Для ОС Astra Linux:
обновить пакет curl до 7.88.1-10+deb12u10.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2997
Для ОС Astra Linux:
обновить пакет curl до 7.88.1-10+deb12u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17
Для ОС Astra Linux:
обновить пакет curl до 7.88.1-10+deb12u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47
Для ОС Astra Linux:
обновить пакет curl до 7.88.1-10+deb12u15.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0126SE38
Для ОС Astra Linux:
обновить пакет curl до 7.88.1-10+deb12u15.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0126SE38
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения curl до версии 7.88.1-10+deb12u14
Для программных продуктов Oracle Corp.:
https://support.oracle.com/signin/?kmContentId=2927522
Для Ред ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti-red-os-8-0/uyazvimost-curl-cve-2024-11053-8.0/?sphrase_id=1458923
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 80%
0.01966
Низкий
9.1 Critical
CVSS3
9.4 Critical
CVSS2
EPSS
Процентиль: 80%
0.01966
Низкий
9.1 Critical
CVSS3
9.4 Critical
CVSS2