Linux Distros 未修补的漏洞：CVE-2024-45405
medium Nessus 插件 ID 256375
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- “gix-path”是处理路径及其转换的“gitoxide”项目以 Rust 编写的“git”实现的板条箱。在低于版本 0.10.11的版本中“gix-path”运行“git”以查找与“git”安装关联的配置文件的路径但未正确解析包含异常或非 ASCII 字符的路径在极少数情况下导致本地攻击者注入配置从而导致代码执行。
0.10.11 版包含针对该问题的补丁。在“gix_path::env”中“installation_config”和“installation_config_prefix”函数的底层实现会调用“git config -l --show-origin”以查找要视为属于“git”安装的文件的路径。受影响的“gix-path”版本不会传递“-z”/“--null”会造成“git”报告文字路径。相反，为了解决“git”输出带引号的路径的偶尔情况，它们会尝试通过剥离引号来解析路径。问题是当引用一个路径时除了引号的连接之外它可能会发生多种重大更改。如果不反转这些更改可能导致生成与原始路径不同的另一个有效路径。在单用户系统上不可能利用此问题除非已将 `GIT_CONFIG_SYSTEM` 和 `GIT_CONFIG_GLOBAL` 设置为异常值或者以异常方式安装 Git。预期不会出现此类情况。尽管在某些不常见的配置或使用案例中似乎有可能遭到利用即使在多用户系统上也是如此。一般来说如果用户预期自己安装 `git` 并且可能在可预测的位置安装 漏洞利用的可能性就更大“git”的安装位置无论是其路径中的用户名还是其他原因都包含“git”在路径中默认引用的字符例如非英语字母和重音字母通过“GIT_CONFIG_SYSTEM”环境变量指定自定义“system”范围的配置文件并且其路径位于异常位置或包含奇怪命名的组件或“system”范围的配置文件不存在、为空或者已被“GIT_CONFIG_NOSYSTEM”以外的方式隐藏。目前如果没有更高范围的配置文件可用则“gix-path”会将“global”范围的配置文件视为属于 安装。即使在以普通方式在全系统范围内安装了“git”的系统上这也会增加遭到利用的可能性。但是，即使在这些因素的任何组合下，利用预期也将非常困难。 (CVE-2024-45405)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Medium
ID: 256375
文件名: unpatched_CVE_2024_45405.nasl
版本: 1.1
类型: local
代理: unix
系列: Misc.
发布时间: 2025/8/27
最近更新时间: 2025/8/27
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.2
CVSS v2
风险因素: Low
基本分数: 3.6
时间分数: 2.7
矢量: CVSS2#AV:L/AC:L/Au:N/C:P/I:P/A:N
CVSS 分数来源: CVE-2024-45405
CVSS v3
风险因素: Medium
基本分数: 6
时间分数: 5.2
矢量: CVSS:3.0/AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:canonical:ubuntu_linux:rust-gix-path, cpe:/o:canonical:ubuntu_linux:24.04:-:lts
必需的 KB 项: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
易利用性: No known exploits are available
漏洞发布日期: 2024/9/6
参考资料信息
CVE: CVE-2024-45405