BDU:2025-00373

Опубликовано: 23 нояб. 2024

Источник: fstec

CVSS3: 6.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость конфигурации -safe-links демона rsyncd утилиты для передачи и синхронизации файлов Rsync связана с обходом пути каталога в результате отсутствия проверки символических ссылок. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записывать произвольные файлы

Вендор

Canonical Ltd.

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

АО «ИВК»

ООО «РусБИТех-Астра»

Wayne Davison

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Debian GNU/Linux

РЕД ОС

Альт 8 СП

Red Hat OpenShift Container Platform

АЛЬТ СП 10

Astra Linux Special Edition

Rsync

Версия ПО

16.04 LTS (Ubuntu)

18.04 LTS (Ubuntu)

8 (Red Hat Enterprise Linux)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

- (Альт 8 СП)

4 (Red Hat OpenShift Container Platform)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

- (АЛЬТ СП 10)

24.04 LTS (Ubuntu)

1.8 (Astra Linux Special Edition)

24.10 (Ubuntu)

до 3.4.0 (Rsync)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS

Canonical Ltd. Ubuntu 18.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 8

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

АО «ИВК» Альт 8 СП -

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 9

АО «ИВК» АЛЬТ СП 10 -

Canonical Ltd. Ubuntu 24.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Canonical Ltd. Ubuntu 24.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Rsync:

https://git.samba.org/?p=rsync.git;a=commit;h=407c71c7ce562137230e8ba19149c81ccc47c387

https://github.com/RsyncProject/rsync/releases/tag/v3.4.0

https://rsync.samba.org/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-12088

Для Ubuntu:

https://ubuntu.com/security/CVE-2024-12088

Для продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2024-12088

Для ОС АЛЬТ 8 СП (Релиз 10): установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:

обновить пакет rsync до 3.2.7-1+deb12u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-12088
CVE

EPSS

Процентиль: 31%

0.00114

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20250203-04

CVSS3: 9.8

redos

5 месяцев назад

Множественные уязвимости rsync

CVE-2024-12088

CVSS3: 6.5

ubuntu

5 месяцев назад

A flaw was found in rsync. When using the `--safe-links` option, the rsync client fails to properly verify if a symbolic link destination sent from the server contains another symbolic link within it. This results in a path traversal vulnerability, which may lead to arbitrary file write outside the desired directory.

CVE-2024-12088

CVSS3: 6.5

redhat

5 месяцев назад

CVE-2024-12088

CVSS3: 6.5

nvd

5 месяцев назад

CVE-2024-12088

CVSS3: 6.5

msrc

5 месяцев назад

Описание отсутствует

EPSS

Процентиль: 31%

0.00114

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2