14.05.2024

BDU:2024-03872 (CVE-2024-32002) — уязвимость распределенной системы контроля версий Git

По данным БДУ ФСТЭК России, по состоянию на 01.06.2026.

Критический — 9.0/10 Устранена

Уязвимость распределенной системы контроля версий Git связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Кого касается и что делать

Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7; Astra Linux Common Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; ROSA Virtualization (АО «НТЦ ИТ РОСА») — версии 2.1; и ещё 3 позиции
Что делать: уязвимость устранена производителем — применить исправления: git-scm.com, git-scm.com, github.com

Сведения об уязвимости

Идентификаторы	BDU:2024-03872 · CVE-2024-32002
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.0; CVSS 2.0 — 7.6)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H атака по сети, высокая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость распределенной системы контроля версий Git, связанная с неверным ограничением имени пути к каталогу с ограниченным доступом, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 20.05.2024 · Обновлена ФСТЭК: 01.06.2026 · Выявлена: 14.05.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-22 — неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути»); CWE-434 — неограниченная загрузка файлов опасного типа
Класс уязвимости	Уязвимость кода · Способ эксплуатации: подмена при взаимодействии, манипулирование ресурсами

Уязвимое ПО

Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
Astra Linux Common Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
Git (Сообщество свободного программного обеспечения) — версии от 2.39.0 до 2.39.4, от 2.40.0 до 2.40.2, от 2.41.0 до 2.41.1, от 2.42.0 до 2.42.2, от 2.43.0 до 2.43.4, от 2.44.0 до 2.44.1, от 2.45.0 до 2.45.1 · прикладное ПО информационных систем
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.11 · операционная система
ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — 3.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

— отключение функционала поддержки символических ссылок (например, git config —global core.symlinks false);
— ограничение возможности клонирования репозиториев из недоверенных источников;
— использование средств межсетевого экранирования для ограничения возможности удалённого доступа;
— использование антивирусного программного обеспечения для отслеживания попыток эксплуатации уязвимости.
Иcпользование рекомендаций производителя:
git-scm.com/docs/git-config
git-scm.com/docs/git-clone
github.com/git/git/commit/97065761333fd62db1912d81b489db9…
github.com/git/git/security/advisories/GHSA-8h77-4q3w-gfgv

Для ОСОН ОСнова Оnyx (2.11): Обновление программного обеспечения git до версии 1:2.45.2-1
Для ОС Astra Linux: обновить пакет git до 1:2.30.2-1+deb11u2+ci202407011525+astra4 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для Astra Linux Special Edition 4.7 для архитектуры ARM: обновить пакет git до 1:2.30.2-1+deb11u2+ci202407011525+astra4 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47
Для ОС Astra Linux: обновить пакет git до 1:2.11.0-3+deb9u13+ci1 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosa.ru/advisories/ROSA-SA-2026-3135; Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: abf.rosa.ru/advisories/ROSA-SA-2026-3140

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: