Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-04308

Опубликовано: 23 мар. 2018
Источник: fstec
CVSS3: 4.3
CVSS2: 3.5
EPSS Низкий

Описание

Уязвимость модуля mod_session веб-сервера Apache HTTP Server существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемых данных с помощью заголовка Session

Вендор

Canonical Ltd.
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
NetApp Inc.
Apache Software Foundation
АО «НТЦ ИТ РОСА»

Наименование ПО

Ubuntu
Debian GNU/Linux
Astra Linux Special Edition
Astra Linux Common Edition
Santricity Cloud Connector
Storage Automation Store
Clustered Data ONTAP
Storagegrid
HTTP Server
ROSA Virtualization
ROSA Virtualization 3.0

Версия ПО

14.04 LTS (Ubuntu)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
17.10 (Ubuntu)
18.04 LTS (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
8.0 (Debian GNU/Linux)
2.12 «Орёл» (Astra Linux Common Edition)
- (Santricity Cloud Connector)
10 (Debian GNU/Linux)
- (Storage Automation Store)
- (Clustered Data ONTAP)
- (Storagegrid)
от 2.4.0 до 2.4.29 включительно (HTTP Server)
2.1 (ROSA Virtualization)
3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 17.10
Canonical Ltd. Ubuntu 18.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
NetApp Inc. Clustered Data ONTAP -
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 3,5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Apache HTTP Server:
https://lists.apache.org/thread.html/56c2e7cc9deb1c12a843d0dc251ea7fd3e7e80293cde02fcd65286ba@%3Ccvs.httpd.apache.org%3E
Для Ubuntu:
https://usn.ubuntu.com/3627-1/
https://usn.ubuntu.com/3627-2/
Для Debian GNU/Linux:
https://www.debian.org/security/2018/dsa-4164
Для программных продуктов NetApp Inc.:
https://security.netapp.com/advisory/ntap-20180601-0004/
Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2860
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2859

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 86%
0.02927
Низкий

4.3 Medium

CVSS3

3.5 Low

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2018-1283

CVSS3: 5.3
ubuntu
больше 7 лет назад

In Apache httpd 2.4.0 to 2.4.29, when mod_session is configured to forward its session data to CGI applications (SessionEnv on, not the default), a remote user may influence their content by using a "Session" header. This comes from the "HTTP_SESSION" variable name used by mod_session to forward its data to CGIs, since the prefix "HTTP_" is also used by the Apache HTTP Server to pass HTTP header fields, per CGI specifications.

redhat логотип

CVE-2018-1283

CVSS3: 4.8
redhat
больше 7 лет назад

In Apache httpd 2.4.0 to 2.4.29, when mod_session is configured to forward its session data to CGI applications (SessionEnv on, not the default), a remote user may influence their content by using a "Session" header. This comes from the "HTTP_SESSION" variable name used by mod_session to forward its data to CGIs, since the prefix "HTTP_" is also used by the Apache HTTP Server to pass HTTP header fields, per CGI specifications.

nvd логотип

CVE-2018-1283

CVSS3: 5.3
nvd
больше 7 лет назад

In Apache httpd 2.4.0 to 2.4.29, when mod_session is configured to forward its session data to CGI applications (SessionEnv on, not the default), a remote user may influence their content by using a "Session" header. This comes from the "HTTP_SESSION" variable name used by mod_session to forward its data to CGIs, since the prefix "HTTP_" is also used by the Apache HTTP Server to pass HTTP header fields, per CGI specifications.

debian логотип

CVE-2018-1283

CVSS3: 5.3
debian
больше 7 лет назад

In Apache httpd 2.4.0 to 2.4.29, when mod_session is configured to for ...

github логотип

GHSA-69h6-845f-grx4

CVSS3: 5.3
github
больше 3 лет назад

In Apache httpd 2.4.0 to 2.4.29, when mod_session is configured to forward its session data to CGI applications (SessionEnv on, not the default), a remote user may influence their content by using a "Session" header. This comes from the "HTTP_SESSION" variable name used by mod_session to forward its data to CGIs, since the prefix "HTTP_" is also used by the Apache HTTP Server to pass HTTP header fields, per CGI specifications.

EPSS

Процентиль: 86%
0.02927
Низкий

4.3 Medium

CVSS3

3.5 Low

CVSS2