BDU:2021-00585

Опубликовано: 07 авг. 2020

Источник: fstec

CVSS3: 7.5

CVSS2: 5

EPSS Высокий

Описание

Уязвимость реализации механизма HTTP/2 веб-сервера Apache HTTP Server связана с непоследовательной интерпретацией http-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Canonical Ltd.

ООО «РусБИТех-Астра»

Oracle Corp.

Novell Inc.

Сообщество свободного программного обеспечения

Fedora Project

Cisco Systems Inc.

Apache Software Foundation

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Ubuntu

Astra Linux Special Edition

Instantis EnterpriseTrack

OpenSUSE Leap

Debian GNU/Linux

Fedora

Astra Linux Special Edition для «Эльбрус»

Enterprise Manager Ops Center

Sun ZFS Storage Appliance Kit

Oracle Communications Element Manager

Oracle Communications Session Report Manager

Oracle Communications Session Route Manager

Hyperion Infrastructure Technology

HTTP Server

ROSA Virtualization

ОС ОН «Стрелец»

ROSA Virtualization 3.0

Версия ПО

18.04 LTS (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

17.1 (Instantis EnterpriseTrack)

17.2 (Instantis EnterpriseTrack)

17.3 (Instantis EnterpriseTrack)

15.1 (OpenSUSE Leap)

10 (Debian GNU/Linux)

31 (Fedora)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

32 (Fedora)

20.04 LTS (Ubuntu)

15.2 (OpenSUSE Leap)

12.4.0.0 (Enterprise Manager Ops Center)

8.8 (Sun ZFS Storage Appliance Kit)

от 8.2.0 до 8.2.2 включительно (Oracle Communications Element Manager)

от 8.2.0 до 8.2.2 включительно (Oracle Communications Session Report Manager)

от 8.2.0 до 8.2.2 включительно (Oracle Communications Session Route Manager)

11.1.2.4 (Hyperion Infrastructure Technology)

от 2.4.20 до 2.4.46 (HTTP Server)

2.1 (ROSA Virtualization)

до 16.01.2023 (ОС ОН «Стрелец»)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 18.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Novell Inc. OpenSUSE Leap 15.1

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Fedora Project Fedora 31

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Fedora Project Fedora 32

Canonical Ltd. Ubuntu 20.04 LTS

Novell Inc. OpenSUSE Leap 15.2

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache HTTP Server:

https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2020-9490

https://lists.apache.org/thread.html/r5debe8f82728a00a4a68bc904dd6c35423bdfc8d601cfb4579f38bf1@%3Cdev.httpd.apache.org%3E

https://lists.apache.org/thread.html/r623de9b2b2433a87f3f3a15900419fc9c00c77b26936dfea4060f672@%3Cdev.httpd.apache.org%3E

https://lists.apache.org/thread.html/r9e9f1a7609760f0f80562eaaec2aa3c32d525c3e0fca98b475240c71@%3Cdev.httpd.apache.org%3E

Для продуктов Novell Inc.:

http://lists.opensuse.org/opensuse-security-announce/2020-08/msg00068.html

http://lists.opensuse.org/opensuse-security-announce/2020-08/msg00071.html

http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00081.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4NKWG2EXAQQB6LMLATKZ7KLSRGCSHVAN/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ITVFDBVM6E3JF3O7RYLRPRCH3RDRHJJY/

Для Ubuntu:

https://usn.ubuntu.com/4458-1/

Для Debian:

https://www.debian.org/security/2020/dsa-4757

Для продуктов Oracle:

https://www.oracle.com/security-alerts/cpujan2021.html

https://www.oracle.com/security-alerts/cpuoct2020.html

Для Astra Linux:

Использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения apache2 до версии 2.4.54-2osnova11.strelets

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2859

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-9490
CVE

EPSS

Процентиль: 99%

0.76276

Высокий

7.5 High

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2020-9490

CVSS3: 7.5

ubuntu

больше 5 лет назад

Apache HTTP Server versions 2.4.20 to 2.4.43. A specially crafted value for the 'Cache-Digest' header in a HTTP/2 request would result in a crash when the server actually tries to HTTP/2 PUSH a resource afterwards. Configuring the HTTP/2 feature via "H2Push off" will mitigate this vulnerability for unpatched servers.

CVE-2020-9490

CVSS3: 7.5

redhat

больше 5 лет назад

CVE-2020-9490

CVSS3: 7.5

nvd

больше 5 лет назад

CVE-2020-9490

CVSS3: 7.5

msrc

больше 5 лет назад

CVE-2020-9490

CVSS3: 7.5

debian

больше 5 лет назад

Apache HTTP Server versions 2.4.20 to 2.4.43. A specially crafted valu ...

EPSS

Процентиль: 99%

0.76276

Высокий

7.5 High

CVSS3

5 Medium

CVSS2