BDU:2020-05766

Опубликовано: 20 июн. 2019

Источник: fstec

CVSS3: 6.1

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость функции apr_uri_parse() модуля аутентификации mod_auth_mellon сервера Apache HTTP Server связана с переадресацией URL на ненадежный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перенаправить пользователя на вредоносный сайт с помощью параметра login?ReturnTo=

Вендор

Red Hat Inc.

Canonical Ltd.

Apache Software Foundation

Fedora Project

Наименование ПО

Red Hat Enterprise Linux

Ubuntu

HTTP Server

Fedora

Версия ПО

7 (Red Hat Enterprise Linux)

18.04 LTS (Ubuntu)

до 0.14.2 (HTTP Server)

8 (Red Hat Enterprise Linux)

30 (Fedora)

31 (Fedora)

19.10 (Ubuntu)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 18.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 8

Fedora Project Fedora 30

Fedora Project Fedora 31

Canonical Ltd. Ubuntu 19.10

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/Uninett/mod_auth_mellon/issues/35#issuecomment-503974885

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/A5E3JVHURJJNDP63CKVX5O5MJAGCQV4K/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XU5GVFZW3C2M4ZBL4F7UP7N24FNUCX4E/

Для Ubuntu:

https://ubuntu.com/security/notices/USN-4291-1

Для продуктов Red Hat:

https://access.redhat.com/security/cve/cve-2019-13038

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-13038
CVE

EPSS

Процентиль: 31%

0.00116

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2019-13038

CVSS3: 6.1

ubuntu

больше 6 лет назад

mod_auth_mellon through 0.14.2 has an Open Redirect via the login?ReturnTo= substring, as demonstrated by omitting the // after http: in the target URL.

CVE-2019-13038

CVSS3: 6.1

redhat

больше 6 лет назад

mod_auth_mellon through 0.14.2 has an Open Redirect via the login?ReturnTo= substring, as demonstrated by omitting the // after http: in the target URL.

CVE-2019-13038

CVSS3: 6.1

nvd

больше 6 лет назад

mod_auth_mellon through 0.14.2 has an Open Redirect via the login?ReturnTo= substring, as demonstrated by omitting the // after http: in the target URL.

CVE-2019-13038

CVSS3: 6.1

debian

больше 6 лет назад

mod_auth_mellon through 0.14.2 has an Open Redirect via the login?Retu ...

GHSA-67h8-fxm4-vr72

CVSS3: 6.1

github

больше 3 лет назад

mod_auth_mellon through 0.14.2 has an Open Redirect via the login?ReturnTo= substring, as demonstrated by omitting the // after http: in the target URL.

EPSS

Процентиль: 31%

0.00116

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2