BDU:2019-02994

Опубликовано: 13 авг. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Средний

Описание

Уязвимость реализации сетевого протокола HTTP/2 операционных систем Windows, сервера nginx, программной платформы Node.js связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Microsoft Corp

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Fedora Project

Red Hat, Inc.

Novell Inc.

Node.js Foundation

NGINX Inc.

Oracle Corp.

АО «НППКТ»

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Windows 10

Windows 10 1607

Windows 10 1703

Windows Server 2016

Windows Server 2016 (Server Core installation)

Debian GNU/Linux

Windows 10 1709

Windows 10 1803

Windows Server 1803 (Server Core Installation)

Windows 10 1809

Windows Server 2019

Windows Server 2019 (Server Core installation)

Astra Linux Special Edition

Fedora

Windows 10 1903

Windows Server 1903 (Server Core Installation)

Red Hat Enterprise Linux

OpenSUSE Leap

Node.js

nginx

Astra Linux Special Edition для «Эльбрус»

Oracle Communications Session Border Controller

Enterprise Communications Broker

ОСОН ОСнова Оnyx

Astra Linux Common Edition

ROSA Virtualization

ОС ОН «Стрелец»

ROSA Virtualization 3.0

Версия ПО

- (Windows 10)

- (Windows 10 1607)

- (Windows 10 1703)

- (Windows Server 2016)

- (Windows 10 1703)

- (Windows Server 2016 (Server Core installation))

9 (Debian GNU/Linux)

- (Windows 10 1709)

- (Windows 10 1803)

- (Windows Server 1803 (Server Core Installation))

- (Windows 10 1809)

- (Windows Server 2019)

- (Windows Server 2019 (Server Core installation))

- (Windows 10 1809)

- (Windows 10 1709)

- (Windows 10 1803)

1.6 «Смоленск» (Astra Linux Special Edition)

29 (Fedora)

- (Windows 10 1903)

- (Windows Server 1903 (Server Core Installation))

8 (Red Hat Enterprise Linux)

15.0 (OpenSUSE Leap)

15.1 (OpenSUSE Leap)

30 (Fedora)

8 (Debian GNU/Linux)

до 8.16.1 (Node.js)

до 10.16.3 (Node.js)

до 12.8.1 (Node.js)

до 1.17.3 (nginx)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

8.3 (Oracle Communications Session Border Controller)

8.4 (Oracle Communications Session Border Controller)

3.1 (Enterprise Communications Broker)

3.2 (Enterprise Communications Broker)

до 2.4.2 (ОСОН ОСнова Оnyx)

1.6 «Смоленск» (Astra Linux Common Edition)

2.1 (ROSA Virtualization)

до 16.01.2023 (ОС ОН «Стрелец»)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Сетевое программное средство

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Microsoft Corp Windows 10 -

Microsoft Corp Windows 10 1607 -

Microsoft Corp Windows 10 1703 -

Microsoft Corp Windows Server 2016 -

Microsoft Corp Windows 10 1703 -

Microsoft Corp Windows Server 2016 (Server Core installation) -

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Microsoft Corp Windows 10 1709 -

Microsoft Corp Windows 10 1803 -

Microsoft Corp Windows Server 1803 (Server Core Installation) -

Microsoft Corp Windows 10 1809 -

Microsoft Corp Windows Server 2019 -

Microsoft Corp Windows Server 2019 (Server Core installation) -

Microsoft Corp Windows 10 1809 -

Microsoft Corp Windows 10 1709 -

Microsoft Corp Windows 10 1803 -

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Fedora Project Fedora 29

Microsoft Corp Windows 10 1903 -

Microsoft Corp Windows Server 1903 (Server Core Installation) -

Red Hat, Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.0

Novell Inc. OpenSUSE Leap 15.1

Fedora Project Fedora 30

Сообщество свободного программного обеспечения Debian GNU/Linux 8

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для программных продуктов Microsoft Corp.:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9511

Для Node.js:

https://nodejs.org/en/blog/vulnerability/aug-2019-security-releases/

Для nginx:

http://mailman.nginx.org/pipermail/nginx-announce/2019/000247.html

Для Debian:

Обновление программного обеспечения (пакета nginx) до 1.10.3-1+deb9u3 или более поздней версии

Для программных продуктов Novell Inc.:

https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00031.html

https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00032.html

https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00035.html

https://lists.opensuse.org/opensuse-security-announce/2019-10/msg00003.html

https://lists.opensuse.org/opensuse-security-announce/2019-10/msg00005.html

https://lists.opensuse.org/opensuse-security-announce/2019-10/msg00014.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/BP556LEG3WENHZI5TAQ6ZEBFTJB4E2IS/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/LZLUYPYY3RX4ZJDWZRJIKSULYRJ4PXW7/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/POPAEC4FWL4UU4LDEGPY5NPALU24FFQD/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TAZZEVTCN2B4WT6AIBJ7XGYJMBTORJU5/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XHTKU7YQ5EEP2XNSAV4M4VJ7QCBOJMOD/

Для Astra Linux:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16

https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81

Для Oracle Corp.:

https://www.oracle.com/security-alerts/cpuoct2020.html

https://www.oracle.com/security-alerts/cpujan2021.html

Для ОСОН Основа:

Обновление программного обеспечения twisted до версии 20.3.0-7

Для ОС ОН «Стрелец»:

Обновление программного обеспечения nghttp2 до версии 1.18.1-1+deb9u2

Обновление программного обеспечения nginx до версии 1.10.3-1+deb9u7

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899

Для ОС Astra Linux:

- обновить пакет nghttp2 до 1.36.0-2+deb10u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

- обновить пакет nodejs до 8.11.1~dfsg-2.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-9511
CVE

EPSS

Процентиль: 99%

0.59547

Средний

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ALT-PU-2019-2601

CVSS3: 7.5

altlinux

около 7 лет назад

ALT-PU-2019-2601: package `libnghttp2` update to version 1.39.2-alt1

ALT-PU-2019-2600

CVSS3: 7.5

altlinux

около 7 лет назад

ALT-PU-2019-2600: package `nginx` update to version 1.16.1-alt1

ALT-PU-2019-3050

CVSS3: 7.5

altlinux

около 7 лет назад

ALT-PU-2019-3050: package `node` update to version 10.17.0-alt1

CVE-2019-9511

CVSS3: 7.5

ubuntu

около 7 лет назад

Some HTTP/2 implementations are vulnerable to window size manipulation and stream prioritization manipulation, potentially leading to a denial of service. The attacker requests a large amount of data from a specified resource over multiple streams. They manipulate window size and stream priority to force the server to queue the data in 1-byte chunks. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

CVE-2019-9511

CVSS3: 6.5

redhat

около 7 лет назад

EPSS

Процентиль: 99%

0.59547

Средний

7.5 High

CVSS3

7.8 High

CVSS2