BDU:2019-02996

Опубликовано: 13 авг. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Средний

Описание

Уязвимость реализации сетевого протокола HTTP/2 операционных систем Windows, веб-сервера Apache Traffic Server, веб-сервера H2O, сетевых программных средств netty, SwiftNIO, Envoy, программной платформы Node.js связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Microsoft Corp.

Сообщество свободного программного обеспечения

Node.js Foundation

Apple Inc.

Apache Software Foundation

АО «ИВК»

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Windows

Debian GNU/Linux

Envoy

Node.js

SwiftNIO

netty

Apache Traffic Server

H2O

Альт 8 СП

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

10 (Windows)

10 1607 (Windows)

10 1703 (Windows)

Server 2016 (Windows)

10 1703 (Windows)

Server 2016 Server Core installation (Windows)

9 (Debian GNU/Linux)

10 1709 (Windows)

10 1803 (Windows)

Server 1803 Server Core Installation (Windows)

10 1809 (Windows)

Server 2019 (Windows)

Server 2019 Server Core installation (Windows)

10 1809 (Windows)

10 1709 (Windows)

10 1803 (Windows)

8.0 (Debian GNU/Linux)

10 1903 (Windows)

Server 1903 Server Core Installation (Windows)

до 1.11.1 (Envoy)

до 8.16.1 (Node.js)

до 10.16.3 (Node.js)

до 12.8.1 (Node.js)

до 1.5.0 (SwiftNIO)

до 4.1.39.Final (netty)

от 6.0.0 до 6.2.3 (Apache Traffic Server)

от 7.0.0 до 7.1.6 (Apache Traffic Server)

от 8.0.0 до 8.0.3 (Apache Traffic Server)

до 2.2.6 (H2O)

до 2.3.0-beta2 (H2O)

10 (Debian GNU/Linux)

- (Альт 8 СП)

до 2.1 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Microsoft Corp. Windows 10

Microsoft Corp. Windows 10 1607

Microsoft Corp. Windows 10 1703

Microsoft Corp. Windows Server 2016

Microsoft Corp. Windows 10 1703

Microsoft Corp. Windows Server 2016 Server Core installation

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Microsoft Corp. Windows 10 1709

Microsoft Corp. Windows 10 1803

Microsoft Corp. Windows Server 1803 Server Core Installation

Microsoft Corp. Windows 10 1809

Microsoft Corp. Windows Server 2019

Microsoft Corp. Windows Server 2019 Server Core installation

Microsoft Corp. Windows 10 1809

Microsoft Corp. Windows 10 1709

Microsoft Corp. Windows 10 1803

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Microsoft Corp. Windows 10 1903

Microsoft Corp. Windows Server 1903 Server Core Installation

АО «ИВК» Альт 8 СП -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для программных продуктов Microsoft Corp.:

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-9512

Для программных продуктов Apache Software Foundation:

https://lists.apache.org/thread.html/ad3d01e767199c1aed8033bb6b3f5bf98c011c7c536f07a5d34b3c19@%3Cannounce.trafficserver.apache.org%3E

https://lists.apache.org/thread.html/392108390cef48af647a2e47b7fd5380e050e35ae8d1aa2030254c04@%3Cusers.trafficserver.apache.org%3E

https://lists.apache.org/thread.html/bde52309316ae798186d783a5e29f4ad1527f61c9219a289d0eee0a7@%3Cdev.trafficserver.apache.org%3E

Для H2O:

http://blog.kazuhooku.com/2019/08/h2o-version-226-230-beta2-released.html

Для netty:

https://netty.io/news/2019/08/13/4-1-39-Final.html

Для программных продуктов Apple Inc.:

https://support.apple.com/en-us/HT210436

Для Envoy:

https://blog.getambassador.io/multiple-http-2-vulnerabilities-in-envoy-proxy-59351babb3aa

Для Node.js:

https://nodejs.org/en/blog/vulnerability/aug-2019-security-releases/

Для Debian:

Обновление программного обеспечения (пакета trafficserver) до 2.2.5+dfsg2-2+deb10u1 или более поздней версии

Для ОСОН ОСнова Оnyx:Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova5

Для ОС ОН «Стрелец»:

Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova6.strelets

Обновление программного обеспечения golang-1.11 до версии 1.11.6-1+deb10u4.osnova6strelets

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-9512
CVE

EPSS

Процентиль: 95%

0.21241

Средний

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2019-9512

CVSS3: 7.5

ubuntu

почти 6 лет назад

Some HTTP/2 implementations are vulnerable to ping floods, potentially leading to a denial of service. The attacker sends continual pings to an HTTP/2 peer, causing the peer to build an internal queue of responses. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

CVE-2019-9512

CVSS3: 7.5

redhat

почти 6 лет назад

CVE-2019-9512

CVSS3: 7.5

nvd

почти 6 лет назад

CVE-2019-9512

CVSS3: 7.5

msrc

почти 6 лет назад

HTTP/2 Server Denial of Service Vulnerability

CVE-2019-9512

CVSS3: 7.5

debian

почти 6 лет назад

Some HTTP/2 implementations are vulnerable to ping floods, potentially ...

EPSS

Процентиль: 95%

0.21241

Средний

7.5 High

CVSS3

7.8 High

CVSS2