BDU:2024-05823 (CVE-2023-38497)

Уязвимость менеджера пакетов Cargo языка программирования Rust, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2024-07-29

Описание

Уязвимость менеджера пакетов Cargo языка программирования Rust связана с игнорированием umask при извлечении архивов созданных в UNIX-подобных системах. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Затрагиваемое ПО и версии

РЕД ОС (7.3)cargo (до 0.72.2)

Способ устранения

Для cargo:
https://github.com/rust-lang/cargo/commit/d78bbf4bde3c6b95caca7512f537c6f9721426ff
https://github.com/rust-lang/cargo/pull/12443
https://github.com/rust-lang/cargo/security/advisories/GHSA-j3xp-wfr4-hx87
https://github.com/rust-lang/wg-security-response/tree/main/patches/CVE-2023-38497

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	6.8 — высокая опасность

Источники и патчи

https://github.com/rust-lang/cargo/commit/d78bbf4bde3c6b95caca7512f537c6f9721426ff https://github.com/rust-lang/cargo/pull/12443 https://github.com/rust-lang/cargo/security/advisories/GHSA-j3xp-wfr4-hx87 https://github.com/rust-lang/wg-security-response/tree/main/patches/CVE-2023-38497 https://redos.red-soft.ru/support/secure/

Проверьте безопасность своего сайта и почты → Полная проверка домена