CVE-2024-24828

Local Privilege Escalation in execuatables bundled by pkg

CVSS 3.1Medium

6.6/ 10.0

Опубликовано

9 февраля 2024 г.

Обновлено

22 августа 2024 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ОФИЦИАЛЬНЫЙ ПАТЧ НЕ ОПУБЛИКОВАН

Пакет pkg заброшен (deprecated) и не получит патч; требуется миграция на актуальные альтернативы (например, Node.js Single Executable Applications).

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Утилита pkg сохраняет нативные бинарные зависимости в общую общедоступную директорию с предсказуемыми путями.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

Собранные бинарники распаковываются в системную общую папку /tmp/pkg/* со статическими предсказуемыми именами без изоляции прав между пользователями.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

Локальное повышение привилегий: локальный атакующий может подменить исполняемый файл вредоносным бинарником до его запуска жертвой.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

vercelpkg

все ранние➔Патч не выпущен

——

>= 0➔Патч не выпущен

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (2)

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2024-24828: Local Privilege Escalation in execuatables bundled by pkg. URL: https://cve.futuretools.ru/cve/CVE-2024-24828

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2024_24828,
  title = {{CVE-2024-24828: Local Privilege Escalation in execuatables bundled by pkg}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2024-24828}},
  note = {Оперативный инженерный анализ киберугроз}
}