BDU:2019-01564

Опубликовано: 08 окт. 2018

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость модуля mod_session веб-сервера Apache HTTP Server связана с отсутствием проверки времени жизни сеанса перед его декодированием. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемых данных

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

Oracle Corp.

ООО «РусБИТех-Астра»

Apache Software Foundation

АО «НТЦ ИТ РОСА»

Наименование ПО

Ubuntu

Debian GNU/Linux

Enterprise Manager Ops Center

Astra Linux Special Edition

Apache HTTP Server

Retail Xstore Point of Service

Instantis EnterpriseTrack

ROSA Virtualization

Версия ПО

14.04 LTS (Ubuntu)

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

12.3.3 (Enterprise Manager Ops Center)

18.10 (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

от 2.4.0 до 2.4.37 включительно (Apache HTTP Server)

7.0 (Retail Xstore Point of Service)

17.1 (Instantis EnterpriseTrack)

17.2 (Instantis EnterpriseTrack)

17.3 (Instantis EnterpriseTrack)

7.1 (Retail Xstore Point of Service)

2.1 (ROSA Virtualization)

Тип ПО

Операционная система

Сетевое программное средство

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 18.10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache:

Обновление программного обеспечения до 2.4.38-2 или более поздней версии

Для Debian GNU/Linux:

Обновление программного обеспечения (пакета apache2) до 2.4.25-3+deb9u7 или более поздней версии

Для программных продуктов Oracle Corp.:

https://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html

https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html

Для Ubuntu:

https://usn.ubuntu.com/3937-1/

Для системы управления средой виртуализации "ROSA Virtualization":

https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2159

Для ОС Astra Linux 1.6 «Смоленск»:

обновить пакет apache2 до 2.4.25-astrase19.0.7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-17199
CVE

EPSS

Процентиль: 90%

0.06251

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2018-17199

CVSS3: 7.5

ubuntu

больше 6 лет назад

In Apache HTTP Server 2.4 release 2.4.37 and prior, mod_session checks the session expiry time before decoding the session. This causes session expiry time to be ignored for mod_session_cookie sessions since the expiry time is loaded when the session is decoded.

CVE-2018-17199

CVSS3: 5.4

redhat

больше 6 лет назад

CVE-2018-17199

CVSS3: 7.5

nvd

больше 6 лет назад

CVE-2018-17199

CVSS3: 7.5

debian

больше 6 лет назад

In Apache HTTP Server 2.4 release 2.4.37 and prior, mod_session checks ...

GHSA-gxfm-3qhv-h52c

CVSS3: 7.5

github

около 3 лет назад

EPSS

Процентиль: 90%

0.06251

Низкий

7.5 High

CVSS3

7.8 High

CVSS2