Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-04286

Опубликовано: 09 июл. 2019
Источник: fstec
CVSS3: 6.1
CVSS2: 5.8
EPSS Высокий

Описание

Уязвимость модуля mod_proxy веб-сервера Apache HTTP Server связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправить пользователя на вредоносный сайт с помощью специально сформированной веб-страницы

Вендор

Сообщество свободного программного обеспечения
Oracle Corp.
ООО «РусБИТех-Астра»
Novell Inc.
Red Hat Inc.
Apache Software Foundation
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
Enterprise Manager Ops Center
Astra Linux Special Edition
SUSE Linux Enterprise Server for SAP Applications
SUSE Linux Enterprise Software Development Kit
SUSE Linux Enterprise Module for Open Buildservice Development Tools
Suse Linux Enterprise Server
Red Hat Enterprise Linux
OpenSUSE Leap
SUSE Linux Enterprise Module for Server Applications
Apache HTTP Server
JBoss Core Services
SUSE Linux Enterprise High Performance Computing
Astra Linux Special Edition для «Эльбрус»
Jboss Web Server
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
12.3.3 (Enterprise Manager Ops Center)
1.6 «Смоленск» (Astra Linux Special Edition)
12 SP4 (SUSE Linux Enterprise Server for SAP Applications)
12 SP4 (SUSE Linux Enterprise Software Development Kit)
15 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)
12 SP4 (Suse Linux Enterprise Server)
8 (Red Hat Enterprise Linux)
15.0 (OpenSUSE Leap)
15 SP1 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)
15.1 (OpenSUSE Leap)
15 SP1 (SUSE Linux Enterprise Module for Server Applications)
15 (SUSE Linux Enterprise Module for Server Applications)
12 SP5 (Suse Linux Enterprise Server)
12 SP5 (SUSE Linux Enterprise Software Development Kit)
8 (Debian GNU/Linux)
12.4.0 (Enterprise Manager Ops Center)
10 (Debian GNU/Linux)
от 2.4.0 до 2.4.39 (включительно) (Apache HTTP Server)
- (JBoss Core Services)
12 SP5 (SUSE Linux Enterprise High Performance Computing)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
3 (Jboss Web Server)
12.4.0.0 (Enterprise Manager Ops Center)
1.0 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Сетевое программное средство
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4
Novell Inc. Suse Linux Enterprise Server 12 SP4
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. OpenSUSE Leap 15.0
Novell Inc. OpenSUSE Leap 15.1
Novell Inc. Suse Linux Enterprise Server 12 SP5
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Обновление веб-сервера Apache HTTP Server до версии 2.4.41 или новее:
https://httpd.apache.org/security/vulnerabilities_24.html
Для программных средств Oracle:
https://www.oracle.com/technetwork/topics/security/public-vuln-to-advisory-mapping-093627.html
https://www.oracle.com/security-alerts/cpujul2020.html
Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2019/09/msg00034.html
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2019-10092/
Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81
Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 99%
0.8415
Высокий

6.1 Medium

CVSS3

5.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.1
ubuntu
больше 5 лет назад

In Apache HTTP Server 2.4.0-2.4.39, a limited cross-site scripting issue was reported affecting the mod_proxy error page. An attacker could cause the link on the error page to be malformed and instead point to a page of their choice. This would only be exploitable where a server was set up with proxying enabled but was misconfigured in such a way that the Proxy Error page was displayed.

CVSS3: 4.7
redhat
почти 6 лет назад

In Apache HTTP Server 2.4.0-2.4.39, a limited cross-site scripting issue was reported affecting the mod_proxy error page. An attacker could cause the link on the error page to be malformed and instead point to a page of their choice. This would only be exploitable where a server was set up with proxying enabled but was misconfigured in such a way that the Proxy Error page was displayed.

CVSS3: 6.1
nvd
больше 5 лет назад

In Apache HTTP Server 2.4.0-2.4.39, a limited cross-site scripting issue was reported affecting the mod_proxy error page. An attacker could cause the link on the error page to be malformed and instead point to a page of their choice. This would only be exploitable where a server was set up with proxying enabled but was misconfigured in such a way that the Proxy Error page was displayed.

CVSS3: 6.1
debian
больше 5 лет назад

In Apache HTTP Server 2.4.0-2.4.39, a limited cross-site scripting iss ...

suse-cvrf
больше 4 лет назад

Security update for apache2

EPSS

Процентиль: 99%
0.8415
Высокий

6.1 Medium

CVSS3

5.8 Medium

CVSS2