BDU:2025-15293

Опубликовано: 10 сент. 2025

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость веб-сервера Apache HTTP Server связана с недостаточной проверкой запросов на стороне сервера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к NTLM-хэшам путем отправки специально сформированных запросов

Вендор

АО «ИВК»

АО «НТЦ ИТ РОСА»

Apache Software Foundation

ООО «Ред Софт»

АО «НППКТ»

Наименование ПО

Альт 8 СП

РОСА ХРОМ

АЛЬТ СП 10

HTTP Server

РЕД ОС

ОСОН ОСнова Оnyx

ОСОН ОСнова 3 Оnyx

Версия ПО

- (Альт 8 СП)

12.4 (РОСА ХРОМ)

- (АЛЬТ СП 10)

до 2.4.66 (HTTP Server)

8.0 (РЕД ОС)

до 2.15 (ОСОН ОСнова Оnyx)

до 3.2 (ОСОН ОСнова 3 Оnyx)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

АО «ИВК» Альт 8 СП -

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

ООО «Ред Софт» РЕД ОС 8.0

АО «НППКТ» ОСОН ОСнова Оnyx до 2.15

АО «НППКТ» ОСОН ОСнова 3 Оnyx до 3.2

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение возможности передавать закодированные разделители пути в URL-адресах путем установления значения «off» параметра AllowEncodedSlashes;

- использование директивы MergeSlashes для обработки URL-адресов;

- использование межсетевого экрана уровня приложений (WAF) для фильтрации сетевого трафика;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://httpd.apache.org/security/vulnerabilities_24.html

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для Ред ОС:

http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2026-3115

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения apache2 до версии 2.4.66-1~deb11u1.osnova2u2

Для ОСОН ОСнова 3 Оnyx: Обновление программного обеспечения apache2 до версии 2.4.66-1~deb12u1.osnova3u3

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-59775
CVE

EPSS

Процентиль: 59%

0.0088

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20260122-80-0025

CVSS3: 7.5

redos

10 месяцев назад

Уязвимость httpd

ROS-20260122-73-0026

CVSS3: 7.5

redos

10 месяцев назад

Уязвимость httpd

ALT-PU-2026-4342

CVSS3: 8.3

altlinux

8 месяцев назад

ALT-PU-2026-4342: package `apache2` update to version 2.4.66-alt1

ALT-PU-2025-15434

CVSS3: 8.3

altlinux

11 месяцев назад

ALT-PU-2025-15434: package `apache2` update to version 2.4.66-alt1

CVE-2025-59775

CVSS3: 7.5

ubuntu

11 месяцев назад

Server-Side Request Forgery (SSRF) vulnerability in Apache HTTP Server on Windows with AllowEncodedSlashes On and MergeSlashes Off allows to potentially leak NTLM hashes to a malicious server via SSRF and malicious requests or content Users are recommended to upgrade to version 2.4.66, which fixes the issue.

EPSS

Процентиль: 59%

0.0088

Низкий

7.5 High

CVSS3

7.8 High

CVSS2