BDU:2020-04146

Опубликовано: 12 апр. 2020

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость компонента ngx_http_lua_subrequest.c веб-сервера OpenResty связана с непоследовательной интерпретацией http-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность данных

Вендор

Сообщество свободного программного обеспечения

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

OpenResty

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

10 (Debian GNU/Linux)

до 1.15.8.4 (OpenResty)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 10

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для OpenResty:

https://github.com/openresty/openresty/blob/4e8b4c395f842a078e429c80dd063b2323999957/patches/ngx_http_lua-0.10.15-fix_location_capture_content_length_chunked.patch

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2020/07/msg00014.html

https://www.debian.org/security/2020/dsa-4750

Для ОС ОН «Стрелец»:

Обновление программного обеспечения nginx до версии 1.10.3-1+deb9u7

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-11724
CVE

EPSS

Процентиль: 77%

0.01068

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2020-11724

CVSS3: 7.5

ubuntu

почти 6 лет назад

An issue was discovered in OpenResty before 1.15.8.4. ngx_http_lua_subrequest.c allows HTTP request smuggling, as demonstrated by the ngx.location.capture API.

CVE-2020-11724

CVSS3: 7.5

nvd

почти 6 лет назад

An issue was discovered in OpenResty before 1.15.8.4. ngx_http_lua_subrequest.c allows HTTP request smuggling, as demonstrated by the ngx.location.capture API.

CVE-2020-11724

CVSS3: 7.5

debian

почти 6 лет назад

An issue was discovered in OpenResty before 1.15.8.4. ngx_http_lua_sub ...

GHSA-478m-xrv3-7r93

CVSS3: 7.5

github

больше 3 лет назад

An issue was discovered in OpenResty before 1.15.8.4. ngx_http_lua_subrequest.c allows HTTP request smuggling, as demonstrated by the ngx.location.capture API.

EPSS

Процентиль: 77%

0.01068

Низкий

7.5 High

CVSS3

7.8 High

CVSS2