Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-01913

Опубликовано: 06 июл. 2020
Источник: fstec
CVSS3: 5.3
CVSS2: 5
EPSS Средний

Описание

Уязвимость механизма обработки файлов cookie языка программирования php связана с зависимостью от cookie-файлов без проверки их достоверности и целостности. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных

Вендор

Canonical Ltd.
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Red Hat Inc.
Novell Inc.
Fedora Project
PHP Group
АО «ИВК»
АО "НППКТ"
АО «Концерн ВНИИНС»

Наименование ПО

Ubuntu
Debian GNU/Linux
Astra Linux Special Edition
Red Hat Enterprise Linux
OpenSUSE Leap
Fedora
Astra Linux Special Edition для «Эльбрус»
PHP
Альт 8 СП
ОСОН ОСнова Оnyx
ОС ОН «Стрелец»

Версия ПО

12.04 (Ubuntu)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
8 (Red Hat Enterprise Linux)
15.1 (OpenSUSE Leap)
14.04 ESM (Ubuntu)
10 (Debian GNU/Linux)
31 (Fedora)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
32 (Fedora)
20.04 LTS (Ubuntu)
20.10 (Ubuntu)
15.2 (OpenSUSE Leap)
33 (Fedora)
от 7.2.0 до 7.2.34 (PHP)
от 7.3.0 до 7.3.23 (PHP)
от 7.4.0 до 7.4.11 (PHP)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
до 2.6 (ОСОН ОСнова Оnyx)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 12.04
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. OpenSUSE Leap 15.1
Canonical Ltd. Ubuntu 14.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 31
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
Fedora Project Fedora 32
Canonical Ltd. Ubuntu 20.04 LTS
Canonical Ltd. Ubuntu 20.10
Novell Inc. OpenSUSE Leap 15.2
Fedora Project Fedora 33
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
АО "НППКТ" ОСОН ОСнова Оnyx до 2.6
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Php:
Обновление программного обеспечения до 7.4.16-1 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета php7.0) до 7.0.33-0+deb9u9 или более поздней версии
Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2020-10/msg00045.html
https://lists.opensuse.org/opensuse-security-announce/2020-10/msg00067.html
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2020-7070
Для Ubuntu:
https://ubuntu.com/security/notices/USN-4583-2
https://ubuntu.com/security/notices/USN-4583-1
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RRU57N3OSYZPOMFWPRDNVH7EMYOTSZ66/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/P2J3ZZDHCSX65T5QWV4AHBN7MOJXBEKG/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/7EVDN7D3IB4EAI4D3ZOM2OJKQ5SD7K4E/
Для Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211126SE16
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения php7.3 до версии 7.3.31-1~deb10u1osnovau3
Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет php7.0 до 7.0.33-0+deb9u12+ci202111191628+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Для ОС ОН «Стрелец»:
Обновление программного обеспечения php7.0 до версии 7.0.33.repack1-0+deb9u10.osnova6
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 96%
0.22886
Средний

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 4.3
ubuntu
почти 5 лет назад

In PHP versions 7.2.x below 7.2.34, 7.3.x below 7.3.23 and 7.4.x below 7.4.11, when PHP is processing incoming HTTP cookie values, the cookie names are url-decoded. This may lead to cookies with prefixes like __Host confused with cookies that decode to such prefix, thus leading to an attacker being able to forge cookie which is supposed to be secure. See also CVE-2020-8184 for more information.

CVSS3: 5.3
redhat
около 5 лет назад

In PHP versions 7.2.x below 7.2.34, 7.3.x below 7.3.23 and 7.4.x below 7.4.11, when PHP is processing incoming HTTP cookie values, the cookie names are url-decoded. This may lead to cookies with prefixes like __Host confused with cookies that decode to such prefix, thus leading to an attacker being able to forge cookie which is supposed to be secure. See also CVE-2020-8184 for more information.

CVSS3: 4.3
nvd
почти 5 лет назад

In PHP versions 7.2.x below 7.2.34, 7.3.x below 7.3.23 and 7.4.x below 7.4.11, when PHP is processing incoming HTTP cookie values, the cookie names are url-decoded. This may lead to cookies with prefixes like __Host confused with cookies that decode to such prefix, thus leading to an attacker being able to forge cookie which is supposed to be secure. See also CVE-2020-8184 for more information.

CVSS3: 4.3
debian
почти 5 лет назад

In PHP versions 7.2.x below 7.2.34, 7.3.x below 7.3.23 and 7.4.x below ...

suse-cvrf
почти 5 лет назад

Security update for php7

EPSS

Процентиль: 96%
0.22886
Средний

5.3 Medium

CVSS3

5 Medium

CVSS2