ГрамотаИБ ГрамотаИБ

BDU:2023-00499

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8) CVSS 9.800000190734863 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Уязвимость механизма определения атрибутов для путей gitattributes распределенной системы контроля версий Git, позволяющая нарушителю выполнить произвольный код

Соответствие зарубежным идентификаторам

CVE-2022-23521

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость механизма определения атрибутов для путей gitattributes распределенной системы контроля версий Git связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданного файла .gitattributes

Способ устранения

Использование рекомендаций: Для Git: https://github.com/git/git/commit/508386c6c5857b4faa2c3e491f422c98cc69ae76 Организационные меры: - избегать прямого вызова --format механизма с известными операторами и избегать запуска git archive в ненадежных репозиториях. Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2022-23521 Для Ubuntu: https://ubuntu.com/security/CVE-2022-23521 https://ubuntu.com/security/notices/USN-5810-1 Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2022-23521.html Для ОС РОСА "КОБАЛЬТ": https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2130 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2022-23521 Для ОСОН ОСнова Оnyx (версия 2.7): Обновление программного обеспечения git до версии 1:2.39.1-0.1 Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для Astra Linux Special Edition 1.6 «Смоленск»:: обновить пакет git до 1:2.11.0-3+deb9u10+ci202408021513+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16 Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2024-2398

Сведения записи

Дата публикации: 31.01.2023
Класс уязвимости: Уязвимость кода
Статус: Подтверждена производителем
Устранение: Уязвимость устранена
Эксплойт: Данные уточняются

Уязвимое программное обеспечение

ПроизводительНазваниеВерсияПлатформа
Canonical Ltd.Ubuntu18.04 LTSНе указана
Canonical Ltd.Ubuntu20.04 LTSНе указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Canonical Ltd.Ubuntu22.10Не указана
Novell Inc.OpenSUSE Leap15.4Не указана
Red Hat Inc.Red Hat Enterprise Linux6Не указана
Red Hat Inc.Red Hat Enterprise Linux7Не указана
Red Hat Inc.Red Hat Enterprise Linux8Не указана
Red Hat Inc.Red Hat Enterprise Linux9Не указана
Red Hat Inc.Red Hat Software Collections-Не указана
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.7Не указана
АО «НТЦ ИТ РОСА»РОСА Кобальт7.9Не указана
АО «НТЦ ИТ РОСА»РОСА ХРОМ12.4Не указана
ООО «Ред Софт»РЕД ОС7.3Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.6 «Смоленск»Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.7Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition4.7ARM
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
Сообщество свободного программного обеспеченияGit2.39.0Не указана
Сообщество свободного программного обеспеченияGitдо 2.30.6 включительноНе указана
Сообщество свободного программного обеспеченияGitот 2.31.0 до 2.31.5 включительноНе указана
Сообщество свободного программного обеспеченияGitот 2.32.0 до 2.32.4 включительноНе указана
Сообщество свободного программного обеспеченияGitот 2.33.0 до 2.33.5 включительноНе указана
Сообщество свободного программного обеспеченияGitот 2.34.0 до 2.34.5 включительноНе указана
Сообщество свободного программного обеспеченияGitот 2.35.0 до 2.35.5 включительноНе указана
Сообщество свободного программного обеспеченияGitот 2.36.0 до 2.36.3 включительноНе указана
Сообщество свободного программного обеспеченияGitот 2.37.0 до 2.37.4 включительноНе указана
Сообщество свободного программного обеспеченияGitот 2.38.0 до 2.38.2 включительноНе указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.