Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-02041

Опубликовано: 27 нояб. 2019
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость серверного программного обеспечения HAProxy связана с неправильным выполнением очистки HTTP-заголовков при преобразовании из HTTP/2 в HTTP/1. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения
Canonical Ltd.
ООО «РусБИТех-Астра»
Red Hat Inc.
Willy Terreau

Наименование ПО

Debian GNU/Linux
Ubuntu
Astra Linux Common Edition
Red Hat Enterprise Linux
OpenShift Container Platform
Red Hat Software Collections
HAProxy

Версия ПО

9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
19.04 (Ubuntu)
2.12 «Орёл» (Astra Linux Common Edition)
8 (Red Hat Enterprise Linux)
8 (Debian GNU/Linux)
3.11 (OpenShift Container Platform)
10 (Debian GNU/Linux)
- (Red Hat Software Collections)
19.10 (Ubuntu)
4.4 (OpenShift Container Platform)
до 2.0.10 (HAProxy)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 19.04
ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 19.10

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для HAProxy:
Обновление программного обеспечения до 2.0.10 или более поздней версии
Для Debian GNU/Linux:
Обновление программного обеспечения (пакета haproxy) до 1.8.19-1+deb10u1 или более поздней версии
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2019-19330
Для Ubuntu:
https://usn.ubuntu.com/4212-1/
Для Astra Linux:
Обновление программного обеспечения (пакета haproxy) до 1.8.19-1+deb10u3 или более поздней версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 76%
0.00957
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
ubuntu
около 6 лет назад

The HTTP/2 implementation in HAProxy before 2.0.10 mishandles headers, as demonstrated by carriage return (CR, ASCII 0xd), line feed (LF, ASCII 0xa), and the zero character (NUL, ASCII 0x0), aka Intermediary Encapsulation Attacks.

CVSS3: 5.9
redhat
около 6 лет назад

The HTTP/2 implementation in HAProxy before 2.0.10 mishandles headers, as demonstrated by carriage return (CR, ASCII 0xd), line feed (LF, ASCII 0xa), and the zero character (NUL, ASCII 0x0), aka Intermediary Encapsulation Attacks.

CVSS3: 9.8
nvd
около 6 лет назад

The HTTP/2 implementation in HAProxy before 2.0.10 mishandles headers, as demonstrated by carriage return (CR, ASCII 0xd), line feed (LF, ASCII 0xa), and the zero character (NUL, ASCII 0x0), aka Intermediary Encapsulation Attacks.

CVSS3: 9.8
debian
около 6 лет назад

The HTTP/2 implementation in HAProxy before 2.0.10 mishandles headers, ...

CVSS3: 9.8
github
больше 3 лет назад

The HTTP/2 implementation in HAProxy before 2.0.10 mishandles headers, as demonstrated by carriage return (CR, ASCII 0xd), line feed (LF, ASCII 0xa), and the zero character (NUL, ASCII 0x0), aka Intermediary Encapsulation Attacks.

EPSS

Процентиль: 76%
0.00957
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2