BDU:2019-04404

Опубликовано: 20 июн. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Высокий

Описание

Уязвимость сервера приложений Apache Tomcat связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании в случае не отправки сообщения WINDOW_UPDATE для окна соединения (поток 0)

Вендор

Canonical Ltd.

Oracle Corp.

Red Hat Inc.

Novell Inc.

Apache Software Foundation

Наименование ПО

Ubuntu

Instantis EnterpriseTrack

MICROS Relate CRM Software

Agile Engineering Data Management

Red Hat Enterprise Linux

OpenSUSE Leap

Database Server

Jboss Web Server

Retail Xstore Point of Service

Apache Tomcat

MySQL Enterprise Monitor

Communications Instant Messaging Server

Oracle Communications Element Manager

Oracle Communications Session Report Manager

Oracle Communications Session Route Manager

Oracle Agile PLM Framework

Siebel Apps - Marketing

Версия ПО

16.04 LTS (Ubuntu)

18.04 LTS (Ubuntu)

19.04 (Ubuntu)

17.1 (Instantis EnterpriseTrack)

17.2 (Instantis EnterpriseTrack)

17.3 (Instantis EnterpriseTrack)

11.4 (MICROS Relate CRM Software)

6.2.0 (Agile Engineering Data Management)

6.2.1 (Agile Engineering Data Management)

8 (Red Hat Enterprise Linux)

15.1 (OpenSUSE Leap)

12.2.0.1 (Database Server)

18c (Database Server)

19c (Database Server)

5.0 (Jboss Web Server)

15.0 (Retail Xstore Point of Service)

16.0 (Retail Xstore Point of Service)

17.0 (Retail Xstore Point of Service)

18.0 (Retail Xstore Point of Service)

от 9.0.0.M1 до 9.0.17 включительно (Apache Tomcat)

от 8.5.0 до 8.5.39 включительно (Apache Tomcat)

от 7.0.0 до 7.0.93 включительно (Apache Tomcat)

до 8.0.17 включительно (MySQL Enterprise Monitor)

10.0.1.3.0 (Communications Instant Messaging Server)

5.2 on RHEL 6 (Jboss Web Server)

5.2 on RHEL 7 (Jboss Web Server)

5.2 on RHEL 8 (Jboss Web Server)

8.0.0 (Oracle Communications Element Manager)

8.1.0 (Oracle Communications Element Manager)

8.1.1 (Oracle Communications Element Manager)

8.2.0 (Oracle Communications Element Manager)

8.0.0 (Oracle Communications Session Report Manager)

8.1.0 (Oracle Communications Session Report Manager)

8.1.1 (Oracle Communications Session Report Manager)

8.2.0 (Oracle Communications Session Report Manager)

8.0.0 (Oracle Communications Session Route Manager)

8.1.0 (Oracle Communications Session Route Manager)

8.1.1 (Oracle Communications Session Route Manager)

8.2.0 (Oracle Communications Session Route Manager)

от 9.3.3 до 9.3.6 включительно (Oracle Agile PLM Framework)

20.7 (Siebel Apps - Marketing)

Тип ПО

Операционная система

Прикладное ПО информационных систем

СУБД

Сетевое программное средство

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 19.04

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Обновление сервера приложений Apache Tomcat до версий 9.0.20, 8.5.40 или новее

Для OpenSUSE:

https://www.suse.com/security/cve/CVE-2019-10072/v

Для Oracle:

https://www.oracle.com/security-alerts/cpuapr2020.html

https://www.oracle.com/security-alerts/cpujan2020.html

https://www.oracle.com/technetwork/security-advisory/cpuoct2019-5072832.html

https://www.oracle.com/security-alerts/cpuoct2020.html

Для Ubuntu :

https://usn.ubuntu.com/4128-1/

https://usn.ubuntu.com/4128-2/

Для продуктов Red Hat:

https://access.redhat.com/security/cve/CVE-2019-10072

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://nvd.nist.gov/vuln/detail?vulnId=CVE-2019-10072
CVE

EPSS

Процентиль: 99%

0.71534

Высокий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2019-10072

CVSS3: 7.5

ubuntu

почти 6 лет назад

The fix for CVE-2019-0199 was incomplete and did not address HTTP/2 connection window exhaustion on write in Apache Tomcat versions 9.0.0.M1 to 9.0.19 and 8.5.0 to 8.5.40 . By not sending WINDOW_UPDATE messages for the connection window (stream 0) clients were able to cause server-side threads to block eventually leading to thread exhaustion and a DoS.

CVE-2019-10072

CVSS3: 5.3

redhat

почти 6 лет назад

CVE-2019-10072

CVSS3: 7.5

nvd

почти 6 лет назад

CVE-2019-10072

CVSS3: 7.5

debian

почти 6 лет назад

The fix for CVE-2019-0199 was incomplete and did not address HTTP/2 co ...

GHSA-q4hg-rmq2-52q9

CVSS3: 7.5

github

почти 6 лет назад

Improper Locking in Apache Tomcat

EPSS

Процентиль: 99%

0.71534

Высокий

7.5 High

CVSS3

7.8 High

CVSS2