BDU:2018-01145

Опубликовано: 25 сент. 2018

Источник: fstec

CVSS3: 5.3

CVSS2: 4.3

EPSS Низкий

Описание

Уязвимость веб-сервера Apache HTTP Server связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании путем исчерпания лимита одновременно открытых соединений через непрерывную отправку кадров максимального размера с типом SETTINGS

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Canonical Ltd.

ООО «РусБИТех-Астра»

Oracle Corp.

Apache Software Foundation

Novell Inc.

АО «НТЦ ИТ РОСА»

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

Ubuntu

Astra Linux Special Edition

Oracle Secure Global Desktop

Instantis EnterpriseTrack

HTTP Server

Astra Linux Common Edition

OpenSUSE Leap

JBoss Core Services

ROSA Virtualization

ROSA Virtualization 3.0

Версия ПО

7.0 (Red Hat Enterprise Linux)

9 (Debian GNU/Linux)

6.0 (Red Hat Enterprise Linux)

18.04 LTS (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

5.4 (Oracle Secure Global Desktop)

17.1 (Instantis EnterpriseTrack)

17.2 (Instantis EnterpriseTrack)

17.3 (Instantis EnterpriseTrack)

от 2.4.17 до 2.4.34 включительно (HTTP Server)

2.12 «Орёл» (Astra Linux Common Edition)

15.1 (OpenSUSE Leap)

7.4 EUS (Red Hat Enterprise Linux)

7.5 EUS (Red Hat Enterprise Linux)

7.6 EUS (Red Hat Enterprise Linux)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

- (JBoss Core Services)

15.2 (OpenSUSE Leap)

2.1 (ROSA Virtualization)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Red Hat Inc. Red Hat Enterprise Linux 6.0

Red Hat Inc. Red Hat Enterprise Linux 7.0

Canonical Ltd. Ubuntu 18.04 LTS

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Novell Inc. OpenSUSE Leap 15.1

Red Hat Inc. Red Hat Enterprise Linux 7.4 EUS

Red Hat Inc. Red Hat Enterprise Linux 7.5 EUS

Red Hat Inc. Red Hat Enterprise Linux 7.6 EUS

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Novell Inc. OpenSUSE Leap 15.2

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache HTTP Server:

https://httpd.apache.org/security/vulnerabilities_24.html

Для программных продуктов Novell Inc.:

https://lists.opensuse.org/opensuse-security-announce/2019-06/msg00030.html

https://lists.opensuse.org/opensuse-security-announce/2019-07/msg00056.html

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2018-11763

Для Ubuntu:

https://ubuntu.com/security/notices/USN-3783-1

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuapr2019.html

https://www.oracle.com/security-alerts/cpujan2019.html

Для Debian:

Обновление программного обеспечения (пакета apache2) до 2.4.38-3+deb10u4 или более поздней версии

Для Astra Linux:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2860

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2859

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-11763
CVE

EPSS

Процентиль: 91%

0.06667

Низкий

5.3 Medium

CVSS3

4.3 Medium

CVSS2

Связанные уязвимости

CVE-2018-11763

CVSS3: 5.9

ubuntu

больше 7 лет назад

In Apache HTTP Server 2.4.17 to 2.4.34, by sending continuous, large SETTINGS frames a client can occupy a connection, server thread and CPU time without any connection timeout coming to effect. This affects only HTTP/2 connections. A possible mitigation is to not enable the h2 protocol.

CVE-2018-11763

CVSS3: 7.5

redhat

больше 7 лет назад

CVE-2018-11763

CVSS3: 5.9

nvd

больше 7 лет назад

CVE-2018-11763

CVSS3: 5.9

debian

больше 7 лет назад

In Apache HTTP Server 2.4.17 to 2.4.34, by sending continuous, large S ...

openSUSE-SU-2018:3713-1

suse-cvrf

около 7 лет назад

Security update for apache2

EPSS

Процентиль: 91%

0.06667

Низкий

5.3 Medium

CVSS3

4.3 Medium

CVSS2