PT-2024-39992 · Regclient · Regclient

Sudo-Bmitch · Publicado 2024-08-05 · Atualizado 2025-01-29 · CVE-2025-24882

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.8

Média

Vetor base

AV:N/AC:L/AT:P/PR:H/UI:P/VC:L/VI:H/VA:N/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do regclient anteriores à 0.7.1

Descrição

Um registro malicioso poderia retornar um resumo diferente para um manifesto fixado sem ser detectado. Esse problema afeta o regclient, um cliente de registro Docker e OCI escrito em Go.

Recomendações

Para versões anteriores à 0.7.1, atualize para a versão 0.7.1 para resolver o problema.

Como solução alternativa temporária, após executar um regclient.ManifestGet, compare o resumo retornado com o resumo solicitado para detectar quaisquer discrepâncias.

Exploit

Correção

Insufficient Verification of Data Authenticity

RCE

Enumeração de Fraquezas

CWE-345

CWE-20

Identificadores relacionados

CVE-2025-24882

GHSA-QV35-3GW6-8Q4J

GO-2024-3038

Produtos afetados

Regclient

Referências · 11

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/24xxx/CVE-2025-24882.json · Exploit
• https://github.com/regclient/regclient/commit/7d17cff26c22196b5ddd66bda8c5ee4abf3d1269 · Nota
• https://github.com/regclient/regclient/security/advisories/GHSA-qv35-3gw6-8q4j · Nota
• https://github.com/regclient/regclient · Nota
• https://t.me/cvedetector/16702 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2025-24882 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-qv35-3gw6-8q4j · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1884660450798780676 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-24882 · Nota de Segurança
• https://osv.dev/vulnerability/GO-2024-3038 · Aviso do Fabricante
• https://pkg.go.dev/vuln/GO-2024-3038 · Nota