osbuild-composer bis 93 GPG schwache Authentisierung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.9$0-$5k0.00

Zusammenfassunginfo

Es wurde eine problematische Schwachstelle in osbuild-composer bis 93 entdeckt. Hiervon betroffen ist ein unbekannter Codeblock der Komponente GPG Handler. Dank der Manipulation mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Eine eindeutige Identifikation der Schwachstelle wird mit CVE-2024-2307 vorgenommen. Der Angriff muss lokal angegangen werden. Es gibt keinen verfügbaren Exploit. Die Aktualisierung der betroffenen Komponente wird empfohlen.

Detailsinfo

Eine problematische Schwachstelle wurde in osbuild-composer bis 93 gefunden. Betroffen davon ist ein unbekannter Codeteil der Komponente GPG Handler. Durch Beeinflussen mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-347. Auswirkungen hat dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

A flaw was found in osbuild-composer. A condition can be triggered that disables GPG verification for package repositories, which can expose the build phase to a Man-in-the-Middle attack, allowing untrusted code to be installed into an image being built.

Bereitgestellt wird das Advisory unter access.redhat.com. Die Verwundbarkeit wird seit dem 07.03.2024 mit der eindeutigen Identifikation CVE-2024-2307 gehandelt. Die Ausnutzbarkeit ist als leicht bekannt. Umgesetzt werden muss der Angriff lokal. Um eine Ausnutzung durchzusetzen, muss eine erweiterte Authentisierung umgesetzt werden. Eine Ausnutzung erfordert, dass das Opfer eine spezifische Handlung durchführt. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar.

Ein Aktualisieren auf die Version 94 vermag dieses Problem zu lösen.

Unter anderem wird der Fehler auch in den Datenbanken von EUVD (EUVD-2024-27262) und CERT Bund (WID-SEC-2024-1003) dokumentiert. If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Betroffen

  • Amazon Linux 2
  • Red Hat Enterprise Linux
  • SUSE Linux
  • Oracle Linux
  • IBM MQ
  • IBM Spectrum Protect Plus

Produktinfo

Name

Version

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 5.0
VulDB Meta Temp Score: 4.9

VulDB Base Score: 4.0
VulDB Temp Score: 3.8
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 6.1
CNA Vector (Red Hat, Inc.): 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-347 / CWE-345
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Teilweise
Lokal: Ja
Remote: Teilweise

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: osbuild-composer 94

Timelineinfo

07.03.2024 🔍
19.03.2024 +12 Tage 🔍
19.03.2024 +0 Tage 🔍
30.08.2025 +529 Tage 🔍

Quelleninfo

Advisory: RHSA-2024:2119
Status: Bestätigt

CVE: CVE-2024-2307 (🔍)
GCVE (CVE): GCVE-0-2024-2307
GCVE (VulDB): GCVE-100-257333
EUVD: 🔍
CERT Bund: WID-SEC-2024-1003 - Red Hat Enterprise Linux: Mehrere Schwachstellen

Eintraginfo

Erstellt: 19.03.2024 18:36
Aktualisierung: 30.08.2025 21:14
Anpassungen: 19.03.2024 18:36 (62), 02.05.2024 09:11 (1), 14.04.2025 02:45 (4), 27.07.2025 07:06 (7), 30.08.2025 21:14 (1)
Komplett: 🔍
Cache ID: 216::103

If you want to get the best quality for vulnerability data then you always have to consider VulDB.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Do you need the next level of professionalism?

Upgrade your account now!