BDU:2024-11106

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4) Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1) CVSS 9.100000381469727 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Уязвимость обработчика netrc-файлов утилиты командной строки cURL, позволяющая нарушителю получить доступ к учётным данным

Соответствие зарубежным идентификаторам

CVE-2024-11053

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость обработчика netrc-файлов утилиты командной строки cURL связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к учётным данным при условии HTTP-перенаправления на другой ресурс

Способ устранения

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование «белого» списка IP-адресов для организации удалённого доступа к хостовой операционной системе; - использование средств межсетевого экранирования уровня веб-приложений для предотвращения попыток эксплуатации уязвимости; - использование виртуальных частных сетей для организации удаленного доступа (VPN); - мониторинг HTTP-запросов; - отключение функционала использования netrc-файлов в сочетании с перенаправлением на другие ресурсы. Использование рекомендаций: Для cURL: https://curl.se/docs/CVE-2024-11053.html https://curl.se/docs/CVE-2024-11053.json Для Debian GNU Linux: https://security-tracker.debian.org/tracker/CVE-2024-11053 Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/ Обновление программного обеспечения curl до версии 7.88.1-10+deb12u12~osnova2u1 Для ОС Astra Linux: обновить пакет curl до 7.88.1-10+deb12u10.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18 Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2997 Для ОС Astra Linux: обновить пакет curl до 7.88.1-10+deb12u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17 Для ОС Astra Linux: обновить пакет curl до 7.88.1-10+deb12u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47 Для ОС Astra Linux: обновить пакет curl до 7.88.1-10+deb12u15.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0126SE38 Для ОС Astra Linux: обновить пакет curl до 7.88.1-10+deb12u15.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0126SE38 Для ОСОН ОСнова Оnyx: Обновление программного обеспечения curl до версии 7.88.1-10+deb12u14 Для программных продуктов Oracle Corp.: https://support.oracle.com/signin/?kmContentId=2927522 Для Ред ОС: https://redos.red-soft.ru/support/secure/uyazvimosti-red-os-8-0/uyazvimost-curl-cve-2024-11053-8.0/?sphrase_id=1458923

Сведения записи

Дата публикации: 16.12.2024

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Существует в открытом доступе

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
Daniel Stenberg	cURL	от 6.5 до 8.11.1	Не указана
Oracle Corp.	Database Server	до 19.27 (Patch 37591483)	Не указана
Oracle Corp.	Database Server	до 19.27 (Patch 37591516)	Не указана
АО «ИВК»	Альт 8 СП	-	Не указана
АО «НППКТ»	ОСОН ОСнова Оnyx	до 2.13	Не указана
АО «НППКТ»	ОСОН ОСнова Оnyx	до 3.1	Не указана
АО «НТЦ ИТ РОСА»	РОСА ХРОМ	12.4	Не указана
ООО «Ред Софт»	РЕД ОС	8.0	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition	1.7	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition	1.8	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition	3.8	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition	4.7	Не указана
Сообщество свободного программного обеспечения	Debian GNU/Linux	11	Не указана
Сообщество свободного программного обеспечения	Debian GNU/Linux	12	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.