The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - `gix-path` is a crate of the `gitoxide` project (an implementation of `git` written in Rust) dealing paths     and their conversions. Prior to version 0.10.11, `gix-path` runs `git` to find the path of a configuration     file associated with the `git` installation, but improperly resolves paths containing unusual or non-ASCII     characters, in rare cases enabling a local attacker to inject configuration leading to code execution.
    Version 0.10.11 contains a patch for the issue. In `gix_path::env`, the underlying implementation of the     `installation_config` and `installation_config_prefix` functions calls `git config -l --show-origin` to     find the path of a file to treat as belonging to the `git` installation. Affected versions of `gix-path`     do not pass `-z`/`--null` to cause `git` to report literal paths. Instead, to cover the occasional case     that `git` outputs a quoted path, they attempt to parse the path by stripping the quotation marks. The     problem is that, when a path is quoted, it may change in substantial ways beyond the concatenation of     quotation marks. If not reversed, these changes can result in another valid path that is not equivalent to     the original. On a single-user system, it is not possible to exploit this, unless `GIT_CONFIG_SYSTEM` and     `GIT_CONFIG_GLOBAL` have been set to unusual values or Git has been installed in an unusual way. Such a     scenario is not expected. Exploitation is unlikely even on a multi-user system, though it is plausible in     some uncommon configurations or use cases. In general, exploitation is more likely to succeed if users are     expected to install `git` themselves, and are likely to do so in predictable locations; locations where     `git` is installed, whether due to usernames in their paths or otherwise, contain characters that `git`     quotes by default in paths, such as non-English letters and accented letters; a custom `system`-scope     configuration file is specified with the `GIT_CONFIG_SYSTEM` environment variable, and its path is in an     unusual location or has strangely named components; or a `system`-scope configuration file is absent,     empty, or suppressed by means other than `GIT_CONFIG_NOSYSTEM`. Currently, `gix-path` can treat a     `global`-scope configuration file as belonging to the installation if no higher scope configuration file     is available. This increases the likelihood of exploitation even on a system where `git` is installed     system-wide in an ordinary way. However, exploitation is expected to be very difficult even under any     combination of those factors. (CVE-2024-45405)

Note that Nessus relies on the presence of the package as reported by the vendor.

リモートの openSUSE 15 ホストにインストールされているパッケージは、SUSE- SU-2024:3748-1 のアドバイザリに記載されている脆弱性の影響を受けます。

    セキュリティ修正:

    - CVE-2024-45405: gix-path の不適切なパス解決を修正 (bsc#1230683)

    その他の修正:

    - バージョン 0.10.3~git0.ee7d7ef に更新してください。

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 「gix-path」は、パスとその変換を処理する「gitoxide」プロジェクトRust で書かれた「git」の実装のクレートです。バージョン 0.10.11より前では、「gix-path」は「git」を実行して、「git」インストールに関連する構成ファイルのパスを見つけますが、異常な文字または非 ASCII 文字が含まれているパスを不適切に解決します。まれなケースでは、ローカルの攻撃者が有効になります。コードの実行につながる構成を注入する。
    バージョン 0.10.11 には、この問題に対するパッチが含まれています。「gix_path::env」において、「installation_config」関数および「installation_config_prefix」関数の基盤となる実装は、「git config -l --show-origin」を呼び出し、「git」インストールに属するものとして扱うファイルのパスを見つけます。影響を受けるバージョンの「gix-path」は、「git」がリテラルパスを報告する原因となる「-z」/`--nullを渡しません。代わりに、「git」が引用符で囲まれたパスを出力するというケースに対応するために、引用符を削除することでパスを解析しようとします。問題は、パスが引用される場合、引用符の連結を超えて実質的に変更される可能性があることです。これらの変更は、取り消されない場合、元と等しくない別の有効なパスになる可能性があります。シングルユーザーシステムでは、「GIT_CONFIG_SYSTEM」および「GIT_CONFIG_GLOBAL」が異常な値に設定されているか、Git が異常な方法でインストールされていない限り、これを悪用することはできません。そのようなシナリオは想定されていません。一部の一般的でない構成やユースケースでは可能ですが、マルチユーザーシステムでも悪用が発生する可能性は低いです。一般に、ユーザーが「git」を自分でインストールすることが期待されており、予測可能な場所にインストールする可能性が高い場合、悪用が成功する可能性が高くなります。パスのユーザー名が原因かそれ以外であるかに関わらず、「git」がインストールされている場所には、パスに「git」によってデフォルトで引用される非英語文字やアクセント文字などの文字が含まれています。カスタムの「system」-scope 構成ファイルが「GIT_CONFIG_SYSTEM」環境変数で指定され、そのパスが異常な場所にある、または特殊な名前のコンポーネントを含んでいます。または「system」-scope 構成ファイルが欠落、空、または「GIT_CONFIG_NOSYSTEM」以外の方法で抑制されています。現在、「gix-path」は、より高いスコープの構成ファイルが利用できない場合、「global」スコープの構成ファイルをインストールに属するものとして扱うことができます。これにより、「git」が通常の方法でシステム全体にインストールされているシステムであっても、悪用される可能性が高まります。しかし、これらの要因の組み合わせであっても、悪用は非常に困難であることが予想されます。CVE-2024-45405

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - “gix-path”是处理路径及其转换的“gitoxide”项目以 Rust 编写的“git”实现的板条箱。在低于版本 0.10.11的版本中“gix-path”运行“git”以查找与“git”安装关联的配置文件的路径但未正确解析包含异常或非 ASCII 字符的路径在极少数情况下导致本地攻击者注入配置从而导致代码执行。
    0.10.11 版包含针对该问题的补丁。在“gix_path::env”中“installation_config”和“installation_config_prefix”函数的底层实现会调用“git config -l --show-origin”以查找要视为属于“git”安装的文件的路径。受影响的“gix-path”版本不会传递“-z”/“--null”会造成“git”报告文字路径。相反，为了解决“git”输出带引号的路径的偶尔情况，它们会尝试通过剥离引号来解析路径。问题是当引用一个路径时除了引号的连接之外它可能会发生多种重大更改。如果不反转这些更改可能导致生成与原始路径不同的另一个有效路径。在单用户系统上不可能利用此问题除非已将 `GIT_CONFIG_SYSTEM` 和 `GIT_CONFIG_GLOBAL` 设置为异常值或者以异常方式安装 Git。预期不会出现此类情况。尽管在某些不常见的配置或使用案例中似乎有可能遭到利用即使在多用户系统上也是如此。一般来说如果用户预期自己安装 `git` 并且可能在可预测的位置安装 漏洞利用的可能性就更大“git”的安装位置无论是其路径中的用户名还是其他原因都包含“git”在路径中默认引用的字符例如非英语字母和重音字母通过“GIT_CONFIG_SYSTEM”环境变量指定自定义“system”范围的配置文件并且其路径位于异常位置或包含奇怪命名的组件或“system”范围的配置文件不存在、为空或者已被“GIT_CONFIG_NOSYSTEM”以外的方式隐藏。目前如果没有更高范围的配置文件可用则“gix-path”会将“global”范围的配置文件视为属于 安装。即使在以普通方式在全系统范围内安装了“git”的系统上这也会增加遭到利用的可能性。但是，即使在这些因素的任何组合下，利用预期也将非常困难。 (CVE-2024-45405)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The remote openSUSE 15 host has a package installed that is affected by a vulnerability as referenced in the SUSE- SU-2024:3748-1 advisory.

    Security fixes:

    - CVE-2024-45405: Fixed gix-path improper path resolution (bsc#1230683)

    Other fixes:

    - Update to version 0.10.3~git0.ee7d7ef:

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 「gix-path」是「gitoxide」專案 (以 Rust 撰寫的「git」實作) 的 crate 用於處理路徑及其轉換。 0.10.11[] 之前版本 之前`gix-path` 會執行 `git` 以尋找與 `git` 安裝相關聯的設定檔路徑但是會不當解析包含異常或非 ASCII 字元的路徑在極少數情況下會允許本機攻擊者以插入導致程式碼執行的組態。
    0.10.11 版包含針對該問題的修補程式。在 `gix_path::env` 中`installation_config` 和 `installation_config_prefix` 函式的基礎實作呼叫 `git config -l --show-origin`以尋找要視為屬於 `git` 安裝的檔案路徑。`gix-path` 的受影響版本不會傳遞 `-z`/`--null`造成 `git` 報告常值路徑。相反為了涵蓋 `git` 輸出帶引號的路徑的偶爾情況這些套件會嘗試藉由去除引號來剖析路徑。問題在於引用路徑時其大幅變更可能超出引號串連的範圍。若不進行反轉這些變更可導致產生與原始路徑不同的另一個有效路徑。在單一使用者係統上除非「GIT_CONFIG_SYSTEM」和「GIT_CONFIG_GLOBAL」設為異常值或以異常方式安裝 Git,否則無法惡意利用此弱點。預計不會發生這種情況。即使在多使用者係統上也不太可能遭到惡意利用不過在某些不常見的組態或使用案例中似乎很合理。一般而言若使用者應自行安裝「git」且可能在可預測的位置安裝則惡意利用成功的可能性較高。安裝「git」的位置 (無論是因為其路徑中的使用者名稱或其他原因)包含「git」在路徑中預設引用的字元例如非英文字母和重音字母自訂「system」範圍設定檔是以 `GIT_CONFIG_SYSTEM` 環境變數指定且其路徑位於異常位置或含有異常命名的元件或「system」範圍設定檔不存在、為空白或是以「GIT_CONFIG_NOSYSTEM」以外的方式隱藏。目前若無可用的更高範圍設定檔則 `gix-path` 可將 `global`-scope 設定檔視為屬於 安裝。即使在以一般方式在全系統安裝「git」的系統上這仍會增加惡意利用的可能性。不過預計即使在這些因素的任何組合下惡意利用也將非常困難。 (CVE-2024-45405)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

ID	Name	Product	Family	Published	Updated	Severity
256375	Linux Distros Unpatched Vulnerability : CVE-2024-45405	Nessus	Misc.	8/27/2025	8/27/2025	medium
209620	openSUSE 15 セキュリティ更新 : cargo-c (SUSE-SU-2024:3748-1)	Nessus	SuSE Local Security Checks	10/24/2024	10/24/2024	medium
256375	Linux Distros のパッチ未適用の脆弱性: CVE-2024-45405	Nessus	Misc.	8/27/2025	8/27/2025	medium
256375	Linux Distros 未修补的漏洞：CVE-2024-45405	Nessus	Misc.	8/27/2025	8/27/2025	medium
209620	openSUSE 15 Security Update : cargo-c (SUSE-SU-2024:3748-1)	Nessus	SuSE Local Security Checks	10/24/2024	10/24/2024	medium
256375	Linux Distros 未修補的弱點：CVE-2024-45405	Nessus	Misc.	8/27/2025	8/27/2025	medium

Detections

Analytics

Plugins Search

medium

medium

medium

medium

medium

medium