AlmaLinux 9.2 [TuxCare] 安全更新：git / git-all / git-core / git-core-doc / git-credential-libsecret / 等多个漏洞 （ALMALINUX9.2：CLSA-2025：1739386567）
high Nessus 插件 ID 361048
语言：
简介
AlmaLinux 主机缺少一个或多个安全更新。描述
AlmaLinux 9.2 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.2：CLSA-2025：1739386567公告中提及的多个漏洞的影响。- Git 是一个版本控制系统。在低于版本 2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、2.40.2 和 2.39.4 的版本中，当源存储库和目标存储库存在于同一磁盘上时，本地克隆可能会以将文件硬链接到目标存储库的对象数据库中而告终。如果源存储库为其他用户所有，则不受信任的用户可能会随时重写这些硬链接文件。克隆本地存储库将导致 Git 将源存储库的文件复制或硬链接到目标存储库。与执行适当的克隆相比，这可显着加快此类本地克隆的速度，并且可以节省磁盘空间和计算时间。当克隆位于非当前用户的其他用户所拥有的同一磁盘上的存储库时，我们也会以创建此类硬链接而告终。这些文件将继续由可能不受信任的用户拥有和控制，他们将来可以随意重写。已在版本 2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、2.40.2 和 2.39.4 修复此问题。(CVE-2024-32020)
- Git 是一个版本控制系统。在低于版本 2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、2.40.2 和 2.39.4 的版本中，通过文件系统克隆包含符号链接的本地源存储库时，Git 可能会创建指向任意用户可读文件的硬链接， “objects/”目录中的目标存储库相同的文件系统。通过文件系统克隆本地存储库可能会在目标 Git 存储库的“objects/”目录中创建指向同一文件系统中任意用户拥有的文件的硬链接。通过文件系统克隆存储库时（未明确指定“file://”协议或“--no-local”），将使用针对本地克隆的优化，包括尝试硬链接对象文件，而非复制对象文件。尽管代码包含针对源存储库中符号链接的检查（在修复 CVE-2022-39253 期间添加），但这些检查仍可能争用，因为硬链接操作最终会跟随符号链接。如果文件系统上的对象在检查期间显示为文件，在操作期间显示为符号链接，则允许攻击者绕过检查并在目标对象目录中创建硬链接到任意用户可读的文件。已在版本 2.45.1、2.44.1、2.43.4、2.42.2、2.41.1、2.40.2 和 2.39.4 修复此问题。(CVE-2024-32021)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
根据 TuxCare 公告 ALMALINUX9.2：CLSA-2025：1739386567 中的指南更新受影响的程序包。另见
插件详情
严重性: High
ID: 361048
文件名: tuxcare_alma_linux_9.2_CLSA-2025-1739386567.nasl
版本: 1.1
类型: Local
发布时间: 2026/10/1
最近更新时间: 2026/10/1
支持的传感器: Continuous Assessment, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.3
百分位: 53.54
Vendor
Vendor Severity: Low
CVSS v2
风险因素: Medium
基本分数: 6.6
时间分数: 5.2
矢量: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:N
CVSS 分数来源: CVE-2024-32021
CVSS v3
风险因素: High
基本分数: 7.1
时间分数: 6.4
矢量: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
必需的 KB 项: Host/OS/extended-third-party, Host/local_checks_enabled, Host/AlmaLinux/release, Host/AlmaLinux/rpm-list, Host/cpu
可利用: true
易利用性: Exploits are available
补丁发布日期: 2025/2/12
漏洞发布日期: 2024/5/14
参考资料信息
CVE: CVE-2024-32020, CVE-2024-32021
CLSA: 2025:1739386567