BDU:2019-02996

Опубликовано: 13 авг. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Высокий

Описание

Уязвимость реализации сетевого протокола HTTP/2 операционных систем Windows, веб-сервера Apache Traffic Server, веб-сервера H2O, сетевых программных средств netty, SwiftNIO, Envoy, программной платформы Node.js связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Microsoft Corp

Сообщество свободного программного обеспечения

Node.js Foundation

Apple Inc.

Apache Software Foundation

АО «ИВК»

АО «НППКТ»

АО «Концерн ВНИИНС»

Наименование ПО

Windows 10

Windows 10 1607

Windows 10 1703

Windows Server 2016

Windows Server 2016 (Server Core installation)

Debian GNU/Linux

Windows 10 1709

Windows 10 1803

Windows Server 1803 (Server Core Installation)

Windows 10 1809

Windows Server 2019

Windows Server 2019 (Server Core installation)

Windows 10 1903

Windows Server 1903 (Server Core Installation)

Envoy

Node.js

SwiftNIO

netty

Traffic Server

H2O

Альт 8 СП

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

- (Windows 10)

- (Windows 10 1607)

- (Windows 10 1703)

- (Windows Server 2016)

- (Windows 10 1703)

- (Windows Server 2016 (Server Core installation))

9 (Debian GNU/Linux)

- (Windows 10 1709)

- (Windows 10 1803)

- (Windows Server 1803 (Server Core Installation))

- (Windows 10 1809)

- (Windows Server 2019)

- (Windows Server 2019 (Server Core installation))

- (Windows 10 1809)

- (Windows 10 1709)

- (Windows 10 1803)

- (Windows 10 1903)

- (Windows Server 1903 (Server Core Installation))

8 (Debian GNU/Linux)

до 1.11.1 (Envoy)

до 8.16.1 (Node.js)

до 10.16.3 (Node.js)

до 12.8.1 (Node.js)

до 1.5.0 (SwiftNIO)

до 4.1.39.Final (netty)

от 6.0.0 до 6.2.3 (Traffic Server)

от 7.0.0 до 7.1.6 (Traffic Server)

от 8.0.0 до 8.0.3 (Traffic Server)

до 2.2.6 (H2O)

до 2.3.0-beta2 (H2O)

10 (Debian GNU/Linux)

- (Альт 8 СП)

до 2.1 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Microsoft Corp Windows 10 -

Microsoft Corp Windows 10 1607 -

Microsoft Corp Windows 10 1703 -

Microsoft Corp Windows Server 2016 -

Microsoft Corp Windows 10 1703 -

Microsoft Corp Windows Server 2016 (Server Core installation) -

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Microsoft Corp Windows 10 1709 -

Microsoft Corp Windows 10 1803 -

Microsoft Corp Windows Server 1803 (Server Core Installation) -

Microsoft Corp Windows 10 1809 -

Microsoft Corp Windows Server 2019 -

Microsoft Corp Windows Server 2019 (Server Core installation) -

Microsoft Corp Windows 10 1809 -

Microsoft Corp Windows 10 1709 -

Microsoft Corp Windows 10 1803 -

Microsoft Corp Windows 10 1903 -

Microsoft Corp Windows Server 1903 (Server Core Installation) -

Сообщество свободного программного обеспечения Debian GNU/Linux 8

АО «ИВК» Альт 8 СП -

АО «НППКТ» ОСОН ОСнова Оnyx до 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для программных продуктов Microsoft Corp.:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9512

Для программных продуктов Apache Software Foundation:

https://lists.apache.org/thread.html/ad3d01e767199c1aed8033bb6b3f5bf98c011c7c536f07a5d34b3c19@%3Cannounce.trafficserver.apache.org%3E

https://lists.apache.org/thread.html/392108390cef48af647a2e47b7fd5380e050e35ae8d1aa2030254c04@%3Cusers.trafficserver.apache.org%3E

https://lists.apache.org/thread.html/bde52309316ae798186d783a5e29f4ad1527f61c9219a289d0eee0a7@%3Cdev.trafficserver.apache.org%3E

Для H2O:

http://blog.kazuhooku.com/2019/08/h2o-version-226-230-beta2-released.html

Для netty:

https://netty.io/news/2019/08/13/4-1-39-Final.html

Для программных продуктов Apple Inc.:

https://support.apple.com/en-us/HT210436

Для Envoy:

https://blog.getambassador.io/multiple-http-2-vulnerabilities-in-envoy-proxy-59351babb3aa

Для Node.js:

https://nodejs.org/en/blog/vulnerability/aug-2019-security-releases/

Для Debian:

Обновление программного обеспечения (пакета trafficserver) до 2.2.5+dfsg2-2+deb10u1 или более поздней версии

Для ОСОН ОСнова Оnyx:Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova5

Для ОС ОН «Стрелец»:

Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova6.strelets

Обновление программного обеспечения golang-1.11 до версии 1.11.6-1+deb10u4.osnova6strelets

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-9512
CVE

EPSS

Процентиль: 100%

0.83433

Высокий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ALT-PU-2019-2525

CVSS3: 7.5

altlinux

около 7 лет назад

ALT-PU-2019-2525: package `traefik` update to version 1.7.14-alt1

ALT-PU-2019-2494

CVSS3: 9.8

altlinux

около 7 лет назад

ALT-PU-2019-2494: package `golang` update to version 1.12.9-alt1

ALT-PU-2019-2792

CVSS3: 7.5

altlinux

около 7 лет назад

ALT-PU-2019-2792: package `kubernetes` update to version 1.15.4-alt1

ALT-PU-2019-3050

CVSS3: 7.5

altlinux

около 7 лет назад

ALT-PU-2019-3050: package `node` update to version 10.17.0-alt1

CVE-2019-9512

CVSS3: 7.5

ubuntu

около 7 лет назад

Some HTTP/2 implementations are vulnerable to ping floods, potentially leading to a denial of service. The attacker sends continual pings to an HTTP/2 peer, causing the peer to build an internal queue of responses. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

EPSS

Процентиль: 100%

0.83433

Высокий

7.5 High

CVSS3

7.8 High

CVSS2