Linux Distros 未修补的漏洞：CVE-2024-38519
high Nessus 插件 ID 228983
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- “yt-dlp”和“youtube-dl”是命令行音频/视频下载程序。在低于已修复版本的情况下“yt-dlp”和“youtube-dl”不会限制已下载文件的扩展名可能导致在下载文件夹中创建任意文件名以及 Windows 上的路径遍历。由于“yt-dlp”和“youtube-dl”也会从工作目录读取配置在 Windows 上可执行文件会从“yt-dlp”或“youtube-dl”目录执行这可导致任意代码被执行。 “yt-dlp”版本 2024.07.01 通过将允许的扩展列入白名单修复了此问题。 “youtube-dl”可修复“master”分支上的提交“d42a222”以及标记为 2024 年 7 月 03 日或更高版本的夜间版本中的此问题。这可能意味着可能无法下载某些非常不常见的扩展，但它也会限制可能的利用面。除了升级之外还在输出模板的末尾包含“.%(ext)s”并确保用户信任他们下载的网站。此外请勿下载到 PATH 内的目录或其他敏感位置如用户目录、“system32”或其他二进制文件位置。无法升级的用户请保留默认输出模板“-o %(title)s [%(id)s].%(ext)s”确保要下载媒体的扩展名是通用的 video/audio/sub/...
尝试避免通用提取器；和/或使用“--ignore-config --config-location...”以不从常见位置加载配置。 (CVE-2024-38519)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: High
ID: 228983
文件名: unpatched_CVE_2024_38519.nasl
版本: 1.2
类型: local
代理: unix
系列: Misc.
发布时间: 2025/3/5
最近更新时间: 2025/8/10
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.7
CVSS v2
风险因素: Low
基本分数: 1
时间分数: 0.7
矢量: CVSS2#AV:L/AC:H/Au:S/C:P/I:N/A:N
CVSS 分数来源: CVE-2024-38519
CVSS v3
风险因素: High
基本分数: 7.8
时间分数: 6.8
矢量: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:debian:debian_linux:11.0, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.04, p-cpe:/a:debian:debian_linux:yt-dlp, p-cpe:/a:canonical:ubuntu_linux:yt-dlp, p-cpe:/a:debian:debian_linux:youtube-dl, cpe:/o:debian:debian_linux:12.0
必需的 KB 项: Host/OS/identifier, Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched
易利用性: No known exploits are available
漏洞发布日期: 2024/7/1
参考资料信息
CVE: CVE-2024-38519