BDU:2021-04216

Опубликовано: 11 мая 2021

Источник: fstec

CVSS3: 4.8

CVSS2: 5.8

EPSS Низкий

Описание

Уязвимость модуля mod_proxy httpd-демона веб-сервера Apache HTTP Server связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Apache Software Foundation

АО «ИВК»

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

Astra Linux Common Edition

Astra Linux Special Edition для «Эльбрус»

Apache HTTP Server

Альт 8 СП

ОСОН ОСнова Оnyx

ROSA Virtualization

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

2.12 «Орёл» (Astra Linux Common Edition)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

от 2.4 до 2.4.48 включительно (Apache HTTP Server)

11 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

- (Альт 8 СП)

4.7 (Astra Linux Special Edition)

до 2.3 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.3

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/apache/httpd/commit/ecebcc035ccd8d0e2984fe41420d9e944f456b3c

Для Astra Linux:

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0318SE17MD

https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0318SE47MD

https://wiki.astralinux.ru/astra-linux-se81-bulletin-20220318SE816MD

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220318SE16MD

https://wiki.astralinux.ru/astra-linux-ce212-MD-2022-0318MD

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для Debian:

https://security-tracker.debian.org/tracker/CVE-2021-33193

Для ОСОН Основа:

Обновление программного обеспечения apache2 до версии 2.4.51-1~deb11u1.osnova8

Для Astra Linux Special Edition 4.7 (для архитектуры ARM):

https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47

Для системы управления средой виртуализации "ROSA Virtualization":

https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2155

https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2159

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения apache2 до версии 2.4.54-2osnova11.strelets

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-33193
CVE

EPSS

Процентиль: 76%

0.01033

Низкий

4.8 Medium

CVSS3

5.8 Medium

CVSS2

Связанные уязвимости

CVE-2021-33193

CVSS3: 7.5

ubuntu

почти 4 года назад

A crafted method sent through HTTP/2 will bypass validation and be forwarded by mod_proxy, which can lead to request splitting or cache poisoning. This issue affects Apache HTTP Server 2.4.17 to 2.4.48.

CVE-2021-33193

CVSS3: 7.5

redhat

почти 4 года назад

CVE-2021-33193

CVSS3: 7.5

nvd

почти 4 года назад

CVE-2021-33193

CVSS3: 7.5

debian

почти 4 года назад

A crafted method sent through HTTP/2 will bypass validation and be for ...

openSUSE-SU-2021:2954-1

suse-cvrf

почти 4 года назад

Security update for apache2

EPSS

Процентиль: 76%

0.01033

Низкий

4.8 Medium

CVSS3

5.8 Medium

CVSS2