BDU:2024-05787

Уязвимость библиотеки go-getter оркестратора приложений Nomad, связанная с неправильной нейтрализацией разделителей аргументов в команде, позволяющая нарушителю отформатировать URL-адрес Git, чтобы внедрить дополнительные аргументы Git в вызов Git

Опубликовано: 2024-07-29

Описание

Уязвимость библиотеки go-getter оркестратора приложений Nomad связана с неправильной нейтрализацией разделителей аргументов в команде. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, отформатировать URL-адрес Git, чтобы внедрить дополнительные аргументы Git в вызов Git

Затрагиваемое ПО и версии

РЕД ОС (7.3)go-getter (от 1.5.9 до 1.7.4)

Способ устранения

Для HashiCorp:
https://discuss.hashicorp.com/t/hcsec-2024-09-hashicorp-go-getter-vulnerable-to-argument-injection-when-fetching-remote-default-git-branches/66040

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://discuss.hashicorp.com/t/hcsec-2024-09-hashicorp-go-getter-vulnerable-to-argument-injection-when-fetching-remote-default-git-branches/66040 https://redos.red-soft.ru/support/secure/

Проверьте безопасность своего сайта и почты → Полная проверка домена