BDU:2024-11106

АО "НППКТ", АО «ИВК», Сообщество свободного программного обеспечения, АО «НТЦ ИТ РОСА», ООО «РусБИТе cURL, Альт 8 СП, Astra Linux Special Edition, Debian GNU/Linux, ОСОН ОСнова Оnyx, РОСА ХРОМ

НЕ ОЦЕНЕНО

Дата обнаружения

2024-11-08

Официальное описание

Уязвимость обработчика netrc-файлов утилиты командной строки cURL связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к учётным данным при условии HTTP-перенаправления на другой ресурс

🛡️

Технический анализ и план устранения

🇷🇺 Рекомендация ФСТЭК

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры: - использование «белого» списка IP-адресов для организации удалённого доступа к хостовой операционной системе; - использование средств межсетевого экранирования уровня веб-приложений для предотвращения попыток эксплуатации уязвимости; - использование виртуальных частных сетей для организации удаленного доступа (VPN); - мониторинг HTTP-запросов; - отключение функционала использования netrc-файлов в сочетании с перенаправлением на другие ресурсы.

Использование рекомендаций: Для cURL: https://curl.se/docs/CVE-2024-11053.html
https://curl.se/docs/CVE-2024-11053.json

Для Debian GNU Linux: https://security-tracker.debian.org/tracker/CVE-2024-11053

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Обновление программного обеспечения curl до версии 7.88.1-10+deb12u12~osnova2u1

Для ОС Astra Linux: обновить пакет curl до 7.88.1-10+deb12u10.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2997

Для ОС Astra Linux: обновить пакет curl до 7.88.1-10+deb12u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17

Рекомендации сформированы автоматически на основе баз знаний (CISA/NVD/ФСТЭК) и технической документации вендора. Всегда тестируйте патчи в песочнице перед продакшном.

← Вернуться к списку уязвимостей