Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-11106

Опубликовано: 08 нояб. 2024
Источник: fstec
CVSS3: 9.1
CVSS2: 9.4
EPSS Низкий

Описание

Уязвимость обработчика netrc-файлов утилиты командной строки cURL связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к учётным данным при условии HTTP-перенаправления на другой ресурс

Вендор

Сообщество свободного программного обеспечения
АО «ИВК»
Дэниел Стенберг
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
Альт 8 СП
cURL
ОСОН ОСнова Оnyx

Версия ПО

11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
- (Альт 8 СП)
.от 6.5 до 8.11.1 (cURL)
до 2.13 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

АО «ИВК» Альт 8 СП -
АО "НППКТ" ОСОН ОСнова Оnyx до 2.13

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование «белого» списка IP-адресов для организации удалённого доступа к хостовой операционной системе;
- использование средств межсетевого экранирования уровня веб-приложений для предотвращения попыток эксплуатации уязвимости;
- использование виртуальных частных сетей для организации удаленного доступа (VPN);
- мониторинг HTTP-запросов;
- отключение функционала использования netrc-файлов в сочетании с перенаправлением на другие ресурсы.
Использование рекомендаций:
Для cURL:
https://curl.se/docs/CVE-2024-11053.html
https://curl.se/docs/CVE-2024-11053.json
Для Debian GNU Linux:
https://security-tracker.debian.org/tracker/CVE-2024-11053
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Обновление программного обеспечения curl до версии 7.88.1-10+deb12u12~osnova2u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 36%
0.00145
Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.1
redos
около 2 месяцев назад

Множественные уязвимости curl

CVSS3: 3.4
ubuntu
6 месяцев назад

When asked to both use a `.netrc` file for credentials and to follow HTTP redirects, curl could leak the password used for the first host to the followed-to host under certain circumstances. This flaw only manifests itself if the netrc file has an entry that matches the redirect target hostname but the entry either omits just the password or omits both login and password.

CVSS3: 5.9
redhat
6 месяцев назад

When asked to both use a `.netrc` file for credentials and to follow HTTP redirects, curl could leak the password used for the first host to the followed-to host under certain circumstances. This flaw only manifests itself if the netrc file has an entry that matches the redirect target hostname but the entry either omits just the password or omits both login and password.

CVSS3: 3.4
nvd
6 месяцев назад

When asked to both use a `.netrc` file for credentials and to follow HTTP redirects, curl could leak the password used for the first host to the followed-to host under certain circumstances. This flaw only manifests itself if the netrc file has an entry that matches the redirect target hostname but the entry either omits just the password or omits both login and password.

CVSS3: 3.4
msrc
5 месяцев назад

Описание отсутствует

EPSS

Процентиль: 36%
0.00145
Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2