BDU:2019-02994

Опубликовано: 13 авг. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Средний

Описание

Уязвимость реализации сетевого протокола HTTP/2 операционных систем Windows, сервера nginx, программной платформы Node.js связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Microsoft Corp.

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Fedora Project

Red Hat Inc.

Novell Inc.

Node.js Foundation

NGINX Inc.

Oracle Corp.

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Windows

Debian GNU/Linux

Astra Linux Special Edition

Fedora

Red Hat Enterprise Linux

OpenSUSE Leap

Node.js

nginx

Astra Linux Special Edition для «Эльбрус»

Oracle Communications Session Border Controller

Enterprise Communications Broker

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

10 (Windows)

10 1607 (Windows)

10 1703 (Windows)

Server 2016 (Windows)

10 1703 (Windows)

Server 2016 Server Core installation (Windows)

9 (Debian GNU/Linux)

10 1709 (Windows)

10 1803 (Windows)

Server 1803 Server Core Installation (Windows)

10 1809 (Windows)

Server 2019 (Windows)

Server 2019 Server Core installation (Windows)

10 1809 (Windows)

10 1709 (Windows)

10 1803 (Windows)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

29 (Fedora)

10 1903 (Windows)

Server 1903 Server Core Installation (Windows)

8 (Red Hat Enterprise Linux)

15.0 (OpenSUSE Leap)

15.1 (OpenSUSE Leap)

30 (Fedora)

до 8.16.1 (Node.js)

до 10.16.3 (Node.js)

до 12.8.1 (Node.js)

до 1.17.3 (nginx)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

8.3 (Oracle Communications Session Border Controller)

8.4 (Oracle Communications Session Border Controller)

3.1 (Enterprise Communications Broker)

3.2 (Enterprise Communications Broker)

до 2.4.2 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Microsoft Corp. Windows 10

Microsoft Corp. Windows 10 1607

Microsoft Corp. Windows 10 1703

Microsoft Corp. Windows Server 2016

Microsoft Corp. Windows 10 1703

Microsoft Corp. Windows Server 2016 Server Core installation

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Microsoft Corp. Windows 10 1709

Microsoft Corp. Windows 10 1803

Microsoft Corp. Windows Server 1803 Server Core Installation

Microsoft Corp. Windows 10 1809

Microsoft Corp. Windows Server 2019

Microsoft Corp. Windows Server 2019 Server Core installation

Microsoft Corp. Windows 10 1809

Microsoft Corp. Windows 10 1709

Microsoft Corp. Windows 10 1803

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Fedora Project Fedora 29

Microsoft Corp. Windows 10 1903

Microsoft Corp. Windows Server 1903 Server Core Installation

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.0

Novell Inc. OpenSUSE Leap 15.1

Fedora Project Fedora 30

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для программных продуктов Microsoft Corp.:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9511

Для Node.js:

https://nodejs.org/en/blog/vulnerability/aug-2019-security-releases/

Для nginx:

http://mailman.nginx.org/pipermail/nginx-announce/2019/000247.html

Для Debian:

Обновление программного обеспечения (пакета nginx) до 1.10.3-1+deb9u3 или более поздней версии

Для программных продуктов Novell Inc.:

https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00031.html

https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00032.html

https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00035.html

https://lists.opensuse.org/opensuse-security-announce/2019-10/msg00003.html

https://lists.opensuse.org/opensuse-security-announce/2019-10/msg00005.html

https://lists.opensuse.org/opensuse-security-announce/2019-10/msg00014.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/BP556LEG3WENHZI5TAQ6ZEBFTJB4E2IS/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/LZLUYPYY3RX4ZJDWZRJIKSULYRJ4PXW7/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/POPAEC4FWL4UU4LDEGPY5NPALU24FFQD/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TAZZEVTCN2B4WT6AIBJ7XGYJMBTORJU5/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XHTKU7YQ5EEP2XNSAV4M4VJ7QCBOJMOD/

Для Astra Linux:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16

https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81

Для Oracle Corp.:

https://www.oracle.com/security-alerts/cpuoct2020.html

https://www.oracle.com/security-alerts/cpujan2021.html

Для ОСОН Основа:

Обновление программного обеспечения twisted до версии 20.3.0-7

Для ОС ОН «Стрелец»:

Обновление программного обеспечения nghttp2 до версии 1.18.1-1+deb9u2

Обновление программного обеспечения nginx до версии 1.10.3-1+deb9u7

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-9511
CVE

EPSS

Процентиль: 94%

0.13948

Средний

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2019-9511

CVSS3: 7.5

ubuntu

почти 6 лет назад

Some HTTP/2 implementations are vulnerable to window size manipulation and stream prioritization manipulation, potentially leading to a denial of service. The attacker requests a large amount of data from a specified resource over multiple streams. They manipulate window size and stream priority to force the server to queue the data in 1-byte chunks. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

CVE-2019-9511

CVSS3: 6.5

redhat

почти 6 лет назад

CVE-2019-9511

CVSS3: 7.5

nvd

почти 6 лет назад

CVE-2019-9511

CVSS3: 7.5

msrc

почти 6 лет назад

HTTP/2 Server Denial of Service Vulnerability

CVE-2019-9511

CVSS3: 7.5

debian

почти 6 лет назад

Some HTTP/2 implementations are vulnerable to window size manipulation ...

EPSS

Процентиль: 94%

0.13948

Средний

7.5 High

CVSS3

7.8 High

CVSS2