Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-03307

Опубликовано: 21 мар. 2019
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость декодера HTTP/2 сетевого программного обеспечения HAProxy вызвана выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально созданного пакета

Вендор

Canonical Ltd.
ООО «РусБИТех-Астра»
Novell Inc.
Red Hat Inc.
Willy Terreau

Наименование ПО

Ubuntu
Astra Linux Common Edition
OpenSUSE Leap
SUSE Linux Enterprise High Availability
OpenShift Container Platform
Red Hat Software Collections
Red Hat OpenStack Platform
HAProxy

Версия ПО

16.04 LTS (Ubuntu)
18.04 LTS (Ubuntu)
18.10 (Ubuntu)
2.12 «Орёл» (Astra Linux Common Edition)
15.0 (OpenSUSE Leap)
15 (SUSE Linux Enterprise High Availability)
15 SP1 (SUSE Linux Enterprise High Availability)
3.11 (OpenShift Container Platform)
3.9 (OpenShift Container Platform)
3.10 (OpenShift Container Platform)
- (Red Hat Software Collections)
12.0 (Pike) (Red Hat OpenStack Platform)
13.0 (Queens) (Red Hat OpenStack Platform)
14.0 (Rocky) (Red Hat OpenStack Platform)
от 1.8.0 до 1.8.19 включительно (HAProxy)
от 1.9.0 до 1.9.0-dev9 включительно (HAProxy)

Тип ПО

Операционная система
Прикладное ПО информационных систем
ПО программно-аппаратного средства

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 18.10
ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
Novell Inc. OpenSUSE Leap 15.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для HAProxy:
http://git.haproxy.org/?p=haproxy.git;a=commitdiff;h=a01f45e3ced23c799f6e78b5efdbd32198a75354
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2018-20615/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2018-20615
Для Ubuntu:
https://ubuntu.com/security/notices/USN-3858-1
Для Astra Linux:
Обновление программного обеспечения (пакета haproxy) до 1.8.19-1+deb10u3 или более поздней версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 39%
0.00172
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
почти 7 лет назад

An out-of-bounds read issue was discovered in the HTTP/2 protocol decoder in HAProxy 1.8.x and 1.9.x through 1.9.0 which can result in a crash. The processing of the PRIORITY flag in a HEADERS frame requires 5 extra bytes, and while these bytes are skipped, the total frame length was not re-checked to make sure they were present in the frame.

CVSS3: 7.5
redhat
около 7 лет назад

An out-of-bounds read issue was discovered in the HTTP/2 protocol decoder in HAProxy 1.8.x and 1.9.x through 1.9.0 which can result in a crash. The processing of the PRIORITY flag in a HEADERS frame requires 5 extra bytes, and while these bytes are skipped, the total frame length was not re-checked to make sure they were present in the frame.

CVSS3: 7.5
nvd
почти 7 лет назад

An out-of-bounds read issue was discovered in the HTTP/2 protocol decoder in HAProxy 1.8.x and 1.9.x through 1.9.0 which can result in a crash. The processing of the PRIORITY flag in a HEADERS frame requires 5 extra bytes, and while these bytes are skipped, the total frame length was not re-checked to make sure they were present in the frame.

CVSS3: 7.5
debian
почти 7 лет назад

An out-of-bounds read issue was discovered in the HTTP/2 protocol deco ...

suse-cvrf
почти 7 лет назад

Security update for haproxy

EPSS

Процентиль: 39%
0.00172
Низкий

7.5 High

CVSS3

7.8 High

CVSS2