BDU:2025-06075 (CVE-2024-45411)

Уязвимость функции include() компилирующего обработчика шаблонов Twig, позволяющая нарушителю обойти существующие ограничения безопасности

Опубликовано: 2025-05-28

Описание

Уязвимость функции include() компилирующего обработчика шаблонов Twig связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности

Затрагиваемое ПО и версии

Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Ubuntu (22.04 LTS)Ubuntu (24.04 LTS)Ubuntu (24.10)Twig (от 1.0.0 до 1.44.8)Twig (от 2.0.0 до 2.16.1)Twig (от 3.0.0 до 3.14.0)

Способ устранения

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:
Для Twig:
https://github.com/twigphp/Twig/commit/7afa198603de49d147e90d18062e7b9addcf5233
https://github.com/twigphp/Twig/commit/2102dd135986db79192d26fb5f5817a566e0a7de
https://github.com/twigphp/Twig/commit/11f68e2aeb526bfaf638e30d4420d8a710f3f7c6

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-45411

Для Ubuntu:
https://ubuntu.com/security/CVE-2024-45411

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://github.com/twigphp/Twig/commit/11f68e2aeb526bfaf638e30d4420d8a710f3f7c6 https://github.com/twigphp/Twig/commit/2102dd135986db79192d26fb5f5817a566e0a7de https://github.com/twigphp/Twig/commit/7afa198603de49d147e90d18062e7b9addcf5233 https://redos.red-soft.ru/support/secure/https://security-tracker.debian.org/tracker/CVE-2024-45411 https://ubuntu.com/security/CVE-2024-45411

Проверьте безопасность своего сайта и почты → Полная проверка домена