BDU:2017-02153

Опубликовано: 05 дек. 2016

Источник: fstec

CVSS3: 9.8

CVSS2: 7.5

EPSS Низкий

Описание

Уязвимость функции ap_get_basic_auth_pw() веб-сервера Apache HTTP Server связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти требования аутентификации при помощи внешних сторонних модулей

Вендор

Red Hat Inc.

Apache Software Foundation

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

АО «НТЦ ИТ РОСА»

Наименование ПО

Red Hat Enterprise Linux

HTTP Server

Debian GNU/Linux

Astra Linux Common Edition

Red Hat Software Collections

JBoss Core Services

ROSA Virtualization

ROSA Virtualization 3.0

Версия ПО

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

от 2.2 до 2.2.33 (HTTP Server)

от 2.4 до 2.4.26 (HTTP Server)

9 (Debian GNU/Linux)

8.0 (Debian GNU/Linux)

2.12 «Орёл» (Astra Linux Common Edition)

- (Red Hat Software Collections)

- (JBoss Core Services)

7.3 Extended Update Support (Red Hat Enterprise Linux)

6.7 Extended Update Support (Red Hat Enterprise Linux)

7.2 Extended Update Support (Red Hat Enterprise Linux)

1 (JBoss Core Services)

2.1 (ROSA Virtualization)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Сетевое программное средство

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 6

Red Hat Inc. Red Hat Enterprise Linux 7

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Red Hat Inc. Red Hat Enterprise Linux 7.3 Extended Update Support

Red Hat Inc. Red Hat Enterprise Linux 6.7 Extended Update Support

Red Hat Inc. Red Hat Enterprise Linux 7.2 Extended Update Support

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache HTTP Server:

https://lists.apache.org/thread.html/8409e41a8f7dd9ded37141c38df001be930115428c3d64f70bbdb8b4%3Cdev.httpd.apache.org%3E

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2017-3167

Для Debian GNU/Linux:

https://www.debian.org/security/2017/dsa-3896

Для Astra Linux:

Обновление программного обеспечения (пакета apache2) до 2.4.38-3+deb10u4 или более поздней версии

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2860

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2859

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 92%

0.0944

Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2017-3167

CVSS3: 9.8

ubuntu

больше 8 лет назад

In Apache httpd 2.2.x before 2.2.33 and 2.4.x before 2.4.26, use of the ap_get_basic_auth_pw() by third-party modules outside of the authentication phase may lead to authentication requirements being bypassed.

CVE-2017-3167

CVSS3: 7.4

redhat

больше 8 лет назад

CVE-2017-3167

CVSS3: 9.8

nvd

больше 8 лет назад

CVE-2017-3167

CVSS3: 9.8

debian

больше 8 лет назад

In Apache httpd 2.2.x before 2.2.33 and 2.4.x before 2.4.26, use of th ...

GHSA-9mgw-4qp5-wrrj

CVSS3: 9.8

github

больше 3 лет назад

EPSS

Процентиль: 92%

0.0944

Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2