Linux Distros のパッチ未適用の脆弱性: CVE-2024-24821

high Nessus プラグイン ID 250324

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- Composer は、PHP 言語の依存関係マネージャーです。影響を受けるバージョンには、Composer の呼び出し中および実行ユーザーのコンテキストで、ローカル作業ディレクトリ内のいくつかのファイルが含まれます。
このように、特定の条件下で任意のコードを実行すると、改ざんされたファイルがあるディレクトリ内で Composer が呼び出されたときに、ローカルの権限昇格を引き起こしたり、ユーザーのラテラルな移動を引き起こしたり、悪意のあるコードを実行したりする可能性があります。composer.phar の自己更新を含むすべての Composer CLI コマンドが影響を受けます。次のシナリオはリスクが高いです。sudo で実行されている Composer、信頼できないプロジェクトで Composer を実行する可能性のあるパイプライン、同じプロジェクトで個別に Composer を実行する開発者との共有環境。この脆弱性は、バージョン 2.7.0 および 2.2.23 で修正されました。パッチを適用したバージョンをできるだけ早く適用することが推奨されます。不可能な場合は、以下の点に対処する必要があります。すべてのユーザーからすべての sudo composer 権限を削除して、root 権限昇格を緩和し、信頼できないディレクトリ内で Composer が実行されないようにします。または、必要に応じて、「vendor/composer/InstalledVersions.php」および「vendor/composer/installed.php」のコンテンツに信頼できないコードが含まれていないかを確認します。
次の方法でも、これらのファイルをリセットできます。```sh rm vendor/composer/installed.php vendor/composer/InstalledVersions.php composer install --no-scripts --no-plugins ``` (CVE-2024-24821)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://ubuntu.com/security/CVE-2024-24821

プラグインの詳細

深刻度: High

ID: 250324

ファイル名: unpatched_CVE_2024_24821.nasl

バージョン: 1.1

タイプ: local

エージェント: unix

ファミリー: Misc.

公開日: 2025/8/18

更新日: 2025/8/18

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus