Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-01022

Опубликовано: 04 окт. 2018
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Высокий

Описание

Уязвимость реализации сетевого протокола HTTP/2 веб-сервера Apache HTTP Server связана с неконтролируемым расходом ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения
Novell Inc.
Fedora Project
Oracle Corp.
Apache Software Foundation
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
SUSE Linux Enterprise Server for SAP Applications
Suse Linux Enterprise Server
Fedora
SUSE Linux Enterprise Module for Open Buildservice Development Tools
OpenSUSE Leap
SUSE Linux Enterprise Module for Web Scripting
SUSE Linux Enterprise High Performance Computing
Workload Manager
Apache Tomcat
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
12 SP4 (SUSE Linux Enterprise Server for SAP Applications)
12 SP4 (Suse Linux Enterprise Server)
29 (Fedora)
15 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)
15.0 (OpenSUSE Leap)
15 SP1 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)
15.1 (OpenSUSE Leap)
30 (Fedora)
12 SP5 (Suse Linux Enterprise Server)
8 (Debian GNU/Linux)
15 (SUSE Linux Enterprise Module for Web Scripting)
15 SP1 (SUSE Linux Enterprise Module for Web Scripting)
12 SP5 (SUSE Linux Enterprise High Performance Computing)
12.2.0.1 (Workload Manager)
18c (Workload Manager)
19c (Workload Manager)
от 8.5.0 до 8.5.37 включительно (Apache Tomcat)
от 9.0.1 до 9.0.14 включительно (Apache Tomcat)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Fedora Project Fedora 29
Novell Inc. OpenSUSE Leap 15.0
Novell Inc. OpenSUSE Leap 15.1
Fedora Project Fedora 30
Сообщество свободного программного обеспечения Debian GNU/Linux 8
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/public-vuln-to-advisory-mapping.html
Для программных продуктов Fedora Project:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NPHQEL5AQ6LZSZD2Y6TYZ4RC3WI7NXJ3/
Для Debian:
https://security-tracker.debian.org/tracker/CVE-2019-0199
Для Apache Software Foundation:
https://lists.apache.org/thread.html/4c438fa4c78cb1ce8979077f668ab7145baf83e7c59f2faf7eccf094@%3Cdev.tomcat.apache.org%3E
Для программных продкутов Novell Inc.:
https://www.suse.com/security/cve/CVE-2019-0199/
Для ОС ОН «Стрелец»:
Обновление программного обеспечения tomcat8 до версии 8.5.54-0+deb9u8

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 99%
0.70836
Высокий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
больше 6 лет назад

The HTTP/2 implementation in Apache Tomcat 9.0.0.M1 to 9.0.14 and 8.5.0 to 8.5.37 accepted streams with excessive numbers of SETTINGS frames and also permitted clients to keep streams open without reading/writing request/response data. By keeping streams open for requests that utilised the Servlet API's blocking I/O, clients were able to cause server-side threads to block eventually leading to thread exhaustion and a DoS.

CVSS3: 7.5
redhat
больше 6 лет назад

The HTTP/2 implementation in Apache Tomcat 9.0.0.M1 to 9.0.14 and 8.5.0 to 8.5.37 accepted streams with excessive numbers of SETTINGS frames and also permitted clients to keep streams open without reading/writing request/response data. By keeping streams open for requests that utilised the Servlet API's blocking I/O, clients were able to cause server-side threads to block eventually leading to thread exhaustion and a DoS.

CVSS3: 7.5
nvd
больше 6 лет назад

The HTTP/2 implementation in Apache Tomcat 9.0.0.M1 to 9.0.14 and 8.5.0 to 8.5.37 accepted streams with excessive numbers of SETTINGS frames and also permitted clients to keep streams open without reading/writing request/response data. By keeping streams open for requests that utilised the Servlet API's blocking I/O, clients were able to cause server-side threads to block eventually leading to thread exhaustion and a DoS.

CVSS3: 7.5
debian
больше 6 лет назад

The HTTP/2 implementation in Apache Tomcat 9.0.0.M1 to 9.0.14 and 8.5. ...

suse-cvrf
около 6 лет назад

Security update for tomcat

EPSS

Процентиль: 99%
0.70836
Высокий

7.5 High

CVSS3

7.8 High

CVSS2