Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2017-01806

Опубликовано: 28 июл. 2017
Источник: fstec
CVSS2: 5
EPSS Средний

Описание

Уязвимость модуля mod_session_crypto веб-сервера Apache HTTP Server связана с ошибками алгоритма шифрования. Модуль mod_session_crypto шифрует свои данные/ cookie с использованием сконфигурированных шифров с режимами работы CBC или ECB (AES256-CBC по умолчанию). Следовательно не существует выбираемого или встроенного аутентифицированного шифрования. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить атаки типа Padding Oracle (атаки, связанные с дополнениями, особенно с CBC)

Вендор

Apache Software Foundation

Наименование ПО

HTTP Server

Версия ПО

от версии 2.4.0 до версии 2.4.23 (HTTP Server)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Возможные меры по устранению уязвимости

Использование рекомендаций: http://www.securityfocus.com/bid/95078
http://www.securitytracker.com/id/1037508
https://h20566.www2.hpe.com/hpsc/doc/public/display?docLocale=en_US&docId=emr_na-hpesbux03725en_us
https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2016-0736
https://security.gentoo.org/glsa/201701-36

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

EPSS

Процентиль: 97%
0.31844
Средний

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
больше 8 лет назад

In Apache HTTP Server versions 2.4.0 to 2.4.23, mod_session_crypto was encrypting its data/cookie using the configured ciphers with possibly either CBC or ECB modes of operation (AES256-CBC by default), hence no selectable or builtin authenticated encryption. This made it vulnerable to padding oracle attacks, particularly with CBC.

CVSS3: 5.4
redhat
почти 9 лет назад

In Apache HTTP Server versions 2.4.0 to 2.4.23, mod_session_crypto was encrypting its data/cookie using the configured ciphers with possibly either CBC or ECB modes of operation (AES256-CBC by default), hence no selectable or builtin authenticated encryption. This made it vulnerable to padding oracle attacks, particularly with CBC.

CVSS3: 7.5
nvd
больше 8 лет назад

In Apache HTTP Server versions 2.4.0 to 2.4.23, mod_session_crypto was encrypting its data/cookie using the configured ciphers with possibly either CBC or ECB modes of operation (AES256-CBC by default), hence no selectable or builtin authenticated encryption. This made it vulnerable to padding oracle attacks, particularly with CBC.

CVSS3: 7.5
debian
больше 8 лет назад

In Apache HTTP Server versions 2.4.0 to 2.4.23, mod_session_crypto was ...

CVSS3: 7.5
github
больше 3 лет назад

In Apache HTTP Server versions 2.4.0 to 2.4.23, mod_session_crypto was encrypting its data/cookie using the configured ciphers with possibly either CBC or ECB modes of operation (AES256-CBC by default), hence no selectable or builtin authenticated encryption. This made it vulnerable to padding oracle attacks, particularly with CBC.

EPSS

Процентиль: 97%
0.31844
Средний

5 Medium

CVSS2