Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-03646

Опубликовано: 12 авг. 2019
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость компонента connection.c сетевого протокола HTTP/2 веб-сервера Apache Traffic Server, веб-сервера H2O, программной платформы Node.js, сетевого программного средства SwiftNIO связана с ошибками в работе механизма контроля расхода ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально сгенерированного потока кадров

Вендор

Сообщество свободного программного обеспечения
Fedora Project
Node.js Foundation
Apple Inc.
Apache Software Foundation
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
Fedora
Node.js
SwiftNIO
Apache Traffic Server
H2O
ОСОН ОСнова Оnyx

Версия ПО

9 (Debian GNU/Linux)
29 (Fedora)
30 (Fedora)
до 8.16.1 (Node.js)
до 10.16.3 (Node.js)
до 12.8.1 (Node.js)
до 1.5.0 (SwiftNIO)
10 (Debian GNU/Linux)
от 6.0.0 до 6.2.3 включительно (Apache Traffic Server)
от 7.0.0 до 7.1.6 включительно (Apache Traffic Server)
от 8.0 до 8.3 включительно (Apache Traffic Server)
до 2.2.5 (H2O)
до 2.4.2 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

Apple Inc. Mac OS .
Canonical Ltd. Ubuntu -
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Fedora Project Fedora 29
Fedora Project Fedora 30
Сообщество свободного программного обеспечения Debian GNU/Linux 10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Для h2o:
http://blog.kazuhooku.com/2019/08/h2o-version-226-230-beta2-released.html
Для Debian:
Обновление программного обеспечения (пакета h2o) до 2.2.5+dfsg2-2+deb10u1 или более поздней версии
Для Node.js:
https://nodejs.org/en/blog/vulnerability/aug-2019-security-releases/
Для программных продуктов Apple Inc.:
https://support.apple.com/en-us/HT210436
Для программных продуктов Apache Software Foundation:
https://lists.apache.org/thread.html/392108390cef48af647a2e47b7fd5380e050e35ae8d1aa2030254c04@%3Cusers.trafficserver.apache.org%3E
https://lists.apache.org/thread.html/ad3d01e767199c1aed8033bb6b3f5bf98c011c7c536f07a5d34b3c19@%3Cannounce.trafficserver.apache.org%3E
https://lists.apache.org/thread.html/bde52309316ae798186d783a5e29f4ad1527f61c9219a289d0eee0a7@%3Cdev.trafficserver.apache.org%3E
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4ZQGHE3WTYLYAYJEIDJVF2FIGQTAYPMC/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/CMNFX5MNYRWWIMO4BTKYQCGUDMHO3AXP/
Для ОСОН Основа:
Обновление программного обеспечения twisted до версии 20.3.0-7

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 89%
0.04632
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
почти 6 лет назад

Some HTTP/2 implementations are vulnerable to a settings flood, potentially leading to a denial of service. The attacker sends a stream of SETTINGS frames to the peer. Since the RFC requires that the peer reply with one acknowledgement per SETTINGS frame, an empty SETTINGS frame is almost equivalent in behavior to a ping. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

CVSS3: 7.5
redhat
почти 6 лет назад

Some HTTP/2 implementations are vulnerable to a settings flood, potentially leading to a denial of service. The attacker sends a stream of SETTINGS frames to the peer. Since the RFC requires that the peer reply with one acknowledgement per SETTINGS frame, an empty SETTINGS frame is almost equivalent in behavior to a ping. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

CVSS3: 7.5
nvd
почти 6 лет назад

Some HTTP/2 implementations are vulnerable to a settings flood, potentially leading to a denial of service. The attacker sends a stream of SETTINGS frames to the peer. Since the RFC requires that the peer reply with one acknowledgement per SETTINGS frame, an empty SETTINGS frame is almost equivalent in behavior to a ping. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

CVSS3: 7.5
debian
почти 6 лет назад

Some HTTP/2 implementations are vulnerable to a settings flood, potent ...

CVSS3: 7.5
github
около 3 лет назад

Some HTTP/2 implementations are vulnerable to a settings flood, potentially leading to a denial of service. The attacker sends a stream of SETTINGS frames to the peer. Since the RFC requires that the peer reply with one acknowledgement per SETTINGS frame, an empty SETTINGS frame is almost equivalent in behavior to a ping. Depending on how efficiently this data is queued, this can consume excess CPU, memory, or both.

EPSS

Процентиль: 89%
0.04632
Низкий

7.5 High

CVSS3

7.8 High

CVSS2