Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-01561

Опубликовано: 20 мар. 2019
Источник: fstec
CVSS3: 6.1
CVSS2: 4.3
EPSS Низкий

Описание

Уязвимость модуля аутентификации mod_auth_mellon сервера Apache HTTP Server связана с ошибками преобразования символов «\». Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправить пользователя на вредоносный сайт

Вендор

Сообщество свободного программного обеспечения
Apache Software Foundation

Наименование ПО

Debian GNU/Linux
HTTP Server

Версия ПО

9 (Debian GNU/Linux)
до 0.14.2 (HTTP Server)
8 (Debian GNU/Linux)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Для Libapache2-mod-auth-mellon:
Обновление программного обеспечения до 0.14.2-1 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета libapache2-mod-auth-mellon) до 0.12.0-2+deb9u1 или более поздней версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 74%
0.00811
Низкий

6.1 Medium

CVSS3

4.3 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.8
ubuntu
почти 7 лет назад

A vulnerability was found in mod_auth_mellon before v0.14.2. An open redirect in the logout URL allows requests with backslashes to pass through by assuming that it is a relative URL, while the browsers silently convert backslash characters into forward slashes treating them as an absolute URL. This mismatch allows an attacker to bypass the redirect URL validation logic in apr_uri_parse function.

CVSS3: 6.1
redhat
почти 7 лет назад

A vulnerability was found in mod_auth_mellon before v0.14.2. An open redirect in the logout URL allows requests with backslashes to pass through by assuming that it is a relative URL, while the browsers silently convert backslash characters into forward slashes treating them as an absolute URL. This mismatch allows an attacker to bypass the redirect URL validation logic in apr_uri_parse function.

CVSS3: 5.8
nvd
почти 7 лет назад

A vulnerability was found in mod_auth_mellon before v0.14.2. An open redirect in the logout URL allows requests with backslashes to pass through by assuming that it is a relative URL, while the browsers silently convert backslash characters into forward slashes treating them as an absolute URL. This mismatch allows an attacker to bypass the redirect URL validation logic in apr_uri_parse function.

CVSS3: 5.8
debian
почти 7 лет назад

A vulnerability was found in mod_auth_mellon before v0.14.2. An open r ...

CVSS3: 6.1
github
больше 3 лет назад

A vulnerability was found in mod_auth_mellon before v0.14.2. An open redirect in the logout URL allows requests with backslashes to pass through by assuming that it is a relative URL, while the browsers silently convert backslash characters into forward slashes treating them as an absolute URL. This mismatch allows an attacker to bypass the redirect URL validation logic in apr_uri_parse function.

EPSS

Процентиль: 74%
0.00811
Низкий

6.1 Medium

CVSS3

4.3 Medium

CVSS2