BDU:2022-00330

Опубликовано: 07 фев. 2020

Источник: fstec

CVSS3: 9.8

CVSS2: 7.5

EPSS Средний

Описание

Уязвимость программной платформы Node.js связана с несанкционированном экспортом HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Node.js Foundation

АО «ИВК»

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition для «Эльбрус»

Node.js

Astra Linux Special Edition

Альт 8 СП

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

8.0 (Debian GNU/Linux)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

от 10.0.0 до 10.19.0 (Node.js)

от 12.0.0 до 12.15.0 (Node.js)

от 13.0.0 до 13.8.0 (Node.js)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

- (Альт 8 СП)

до 2.1 (ОСОН ОСнова Оnyx)

до 2.6 (ОСОН ОСнова Оnyx)

до 2.7 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «ИВК» Альт 8 СП -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

АО "НППКТ" ОСОН ОСнова Оnyx до 2.7

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для Node:

использование рекомендаций производителя: https://nodejs.org/en/blog/release/v13.8.0/

Для ОС Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2019-15605

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Для ОСОН Основа:

Обновление программного обеспечения http-parser до версии 2.9.4-4osnova1

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения ruby-http-parser.rb до версии 0.6.0-4+deb10u1

Для ОСОН ОСнова Оnyx (версия 2.7):

Обновление программного обеспечения http-parser2.8 до версии 2.8.1-1+deb10u3onyx1

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет http-parser до 2.8.1-1+deb10u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения http-parser до версии 2.9.4-4osnova1

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-15605
CVE

EPSS

Процентиль: 97%

0.33914

Средний

9.8 Critical

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2019-15605

CVSS3: 9.8

ubuntu

больше 5 лет назад

HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed

CVE-2019-15605

CVSS3: 7.1

redhat

больше 5 лет назад

HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed

CVE-2019-15605

CVSS3: 9.8

nvd

больше 5 лет назад

HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed

CVE-2019-15605

CVSS3: 9.8

debian

больше 5 лет назад

HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payl ...

GHSA-rv6p-2q56-m955

CVSS3: 9.8

github

около 3 лет назад

HTTP request smuggling in Node.js 10, 12, and 13 causes malicious payload delivery when transfer-encoding is malformed

EPSS

Процентиль: 97%

0.33914

Средний

9.8 Critical

CVSS3

7.5 High

CVSS2