NixOS nix bis 2.18.7/2.24.7 HTTPS Connection schwache Authentisierung

CVSS Meta Temp ScoreAktueller Exploitpreis (≈)CTI Interest Score
4.7$0-$5k0.00

Zusammenfassunginfo

Es wurde eine kritische Schwachstelle in NixOS nix bis 2.18.7/2.24.7 ausgemacht. Hiervon betroffen ist ein unbekannter Codeblock der Komponente HTTPS Connection Handler. Mittels Manipulieren mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Die Identifikation der Schwachstelle findet als CVE-2024-47174 statt. Ein Angriff ist aus der Distanz möglich. Es steht kein Exploit zur Verfügung. Es wird geraten, die betroffene Komponente zu aktualisieren.

Detailsinfo

Eine problematische Schwachstelle wurde in NixOS nix bis 2.18.7/2.24.7 gefunden. Es geht hierbei um eine unbekannte Funktionalität der Komponente HTTPS Connection Handler. Mittels dem Manipulieren mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Klassifiziert wurde die Schwachstelle durch CWE als CWE-295. Auswirken tut sich dies auf die Vertraulichkeit. Die Zusammenfassung von CVE lautet:

Nix is a package manager for Linux and other Unix systems. Starting in version 1.11 and prior to versions 2.18.8 and 2.24.8, `` did not verify TLS certificates on HTTPS connections. This could lead to connection details such as full URLs or credentials leaking in case of a man-in-the-middle (MITM) attack. `` is also known as the builtin derivation builder `builtin:fetchurl`. It's not to be confused with the evaluation-time function `builtins.fetchurl`, which was not affected by this issue. A user may be affected by the risk of leaking credentials if they have a `netrc` file for authentication, or rely on derivations with `impureEnvVars` set to use credentials from the environment. In addition, the commonplace trust-on-first-use (TOFU) technique of updating dependencies by specifying an invalid hash and obtaining it from a remote store was also vulnerable to a MITM injecting arbitrary store objects. This also applied to the impure derivations experimental feature. Note that this may also happen when using Nixpkgs fetchers to obtain new hashes when not using the fake hash method, although that mechanism is not implemented in Nix itself but rather in Nixpkgs using a fixed-output derivation. The behavior was introduced in version 1.11 to make it consistent with the Nixpkgs `pkgs.fetchurl` and to make `` work in the derivation builder sandbox, which back then did not have access to the CA bundles by default. Nowadays, CA bundles are bind-mounted on Linux. This issue has been fixed in Nix 2.18.8 and 2.24.8. As a workaround, implement (authenticated) fetching with `pkgs.fetchurl` from Nixpkgs, using `impureEnvVars` and `curlOpts` as needed.

Das Advisory findet sich auf github.com. Die Verwundbarkeit wird seit dem 20.09.2024 mit der eindeutigen Identifikation CVE-2024-47174 gehandelt. Die Ausnutzbarkeit gilt als schwierig. Umgesetzt werden kann der Angriff über das Netzwerk. Das Ausnutzen erfordert keine spezifische Authentisierung. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden. Diese Schwachstelle wird durch das MITRE ATT&CK als Angriffstechnik T1587.003 bezeichnet.

Für den Vulnerability Scanner Nessus wurde ein Plugin mit der ID 242201 (Ubuntu 22.04 LTS / 24.04 LTS : Nix vulnerabilities (USN-7633-1)) herausgegeben, womit die Existenz der Schwachstelle geprüft werden kann.

Ein Aktualisieren auf die Version 2.18.8 oder 2.24.8 vermag dieses Problem zu lösen. Die Schwachstelle lässt sich auch durch das Einspielen des Patches 062b4a489e30da9c85fa4ff15cfdd2e51cac7b90 lösen. Dieser kann von github.com bezogen werden. Als bestmögliche Massnahme wird das Upgrade auf eine neue Version empfohlen.

Unter anderem wird der Fehler auch in der Verwundbarkeitsdatenbank von Tenable (242201) dokumentiert. Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Hersteller

Name

Version

Lizenz

Webseite

CPE 2.3info

CPE 2.2info

CVSSv4info

VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CVSSv3info

VulDB Meta Base Score: 4.8
VulDB Meta Temp Score: 4.7

VulDB Base Score: 3.7
VulDB Temp Score: 3.6
VulDB Vector: 🔍
VulDB Zuverlässigkeit: 🔍

CNA Base Score: 5.9
CNA Vector (GitHub_M): 🔍

CVSSv2info

AVACAuCIA
💳💳💳💳💳💳
💳💳💳💳💳💳
💳💳💳💳💳💳
VektorKomplexitätAuthentisierungVertraulichkeitIntegritätVerfügbarkeit
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten
freischaltenfreischaltenfreischaltenfreischaltenfreischaltenfreischalten

VulDB Base Score: 🔍
VulDB Temp Score: 🔍
VulDB Zuverlässigkeit: 🔍

Exploitinginfo

Klasse: Schwache Authentisierung
CWE: CWE-295 / CWE-287
CAPEC: 🔍
ATT&CK: 🔍

Physisch: Nein
Lokal: Nein
Remote: Ja

Verfügbarkeit: 🔍
Status: Nicht definiert

EPSS Score: 🔍
EPSS Percentile: 🔍

Preisentwicklung: 🔍
Aktuelle Preisschätzung: 🔍

0-Dayfreischaltenfreischaltenfreischaltenfreischalten
Heutefreischaltenfreischaltenfreischaltenfreischalten

Nessus ID: 242201
Nessus Name: Ubuntu 22.04 LTS / 24.04 LTS : Nix vulnerabilities (USN-7633-1)

Threat Intelligenceinfo

Interesse: 🔍
Aktive Akteure: 🔍
Aktive APT Gruppen: 🔍

Gegenmassnahmeninfo

Empfehlung: Upgrade
Status: 🔍

0-Day Time: 🔍

Upgrade: nix 2.18.8/2.24.8
Patch: 062b4a489e30da9c85fa4ff15cfdd2e51cac7b90

Timelineinfo

20.09.2024 🔍
26.09.2024 +6 Tage 🔍
26.09.2024 +0 Tage 🔍
17.07.2025 +294 Tage 🔍

Quelleninfo

Produkt: github.com

Advisory: GHSA-6fjr-mq49-mm2c
Status: Bestätigt

CVE: CVE-2024-47174 (🔍)
GCVE (CVE): GCVE-0-2024-47174
GCVE (VulDB): GCVE-100-278591

Eintraginfo

Erstellt: 26.09.2024 20:49
Aktualisierung: 17.07.2025 11:13
Anpassungen: 26.09.2024 20:49 (67), 01.10.2024 04:35 (1), 17.07.2025 11:13 (2)
Komplett: 🔍
Cache ID: 216::103

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion

Bisher keine Kommentare. Sprachen: de + en.

Bitte loggen Sie sich ein, um kommentieren zu können.

◂ ZurückÜbersichtWeiter ▸

Interested in the pricing of exploits?

See the underground prices here!