BDU:2024-02429

Опубликовано: 10 авг. 2023

Источник: fstec

CVSS3: 7.2

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость серверного программного обеспечения HAProxy связана с пересылкой пустых заголовков Content-Length. Эксплуатация уязвимости может позволить нарушителю, действующему удалено, выполнять атаку «контрабанда HTTP-запросов»

Вендор

ООО «РусБИТех-Астра»

ООО «Ред Софт»

АО «НТЦ ИТ РОСА»

АО «ИВК»

Willy Terreau

Наименование ПО

Astra Linux Special Edition

Astra Linux Special Edition для «Эльбрус»

РЕД ОС

РОСА ХРОМ

АЛЬТ СП 10

HAProxy

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

12.4 (РОСА ХРОМ)

- (АЛЬТ СП 10)

до 2.0.32 включительно (HAProxy)

от 2.2.0 до 2.2.30 включительно (HAProxy)

от 2.4.0 до 2.4.23 включительно (HAProxy)

от 2.5.0 до 2.6.15 (HAProxy)

от 2.7.0 до 2.7.10 (HAProxy)

от 2.8.0 до 2.8.2 (HAProxy)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для HAProxy:

https://github.com/haproxy/haproxy/commit/6492f1f29d738457ea9f382aca54537f35f9d856

https://github.com/haproxy/haproxy/issues/2237

https://www.haproxy.org/download/2.6/src/CHANGELOG

https://www.haproxy.org/download/2.7/src/CHANGELOG

https://www.haproxy.org/download/2.8/src/CHANGELOG

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Astra Linux:

обновить пакет haproxy до 2.2.32-5astra14 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 1.6 «Смоленск»::

обновить пакет haproxy до 2.2.32-5astra14 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

обновить пакет haproxy до 2.2.32-5astra14 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для ОС Astra Linux:

обновить пакет haproxy до 2.2.32-5astra14 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2024-2400

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-40225
CVE

EPSS

Процентиль: 82%

0.02147

Низкий

7.2 High

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

ROS-20240401-04

CVSS3: 7.2

redos

больше 2 лет назад

Уязвимость haproxy

ALT-PU-2023-5066

CVSS3: 7.2

altlinux

около 3 лет назад

ALT-PU-2023-5066: package `haproxy` update to version 2.6.15-alt1

ALT-PU-2023-8740

CVSS3: 8.2

altlinux

больше 3 лет назад

ALT-PU-2023-8740: package `haproxy` update to version 2.8.2-alt1

ALT-PU-2021-1463

CVSS3: 7.5

altlinux

больше 5 лет назад

ALT-PU-2021-1463: package `haproxy` update to version 2.3.5-alt1

CVE-2023-40225

CVSS3: 7.2

ubuntu

около 3 лет назад

HAProxy through 2.0.32, 2.1.x and 2.2.x through 2.2.30, 2.3.x and 2.4.x through 2.4.23, 2.5.x and 2.6.x before 2.6.15, 2.7.x before 2.7.10, and 2.8.x before 2.8.2 forwards empty Content-Length headers, violating RFC 9110 section 8.6. In uncommon cases, an HTTP/1 server behind HAProxy may interpret the payload as an extra request.

EPSS

Процентиль: 82%

0.02147

Низкий

7.2 High

CVSS3

6.4 Medium

CVSS2