Описание
Уязвимость функции r:wsread() модуля mod_lua веб-сервера Apache HTTP Server связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Вендор
ООО «РусБИТех-Астра»
Red Hat, Inc.
Fedora Project
ООО «Ред Софт»
АО «ИВК»
Apache Software Foundation
АО «НППКТ»
АО «НТЦ ИТ РОСА»
АО «Концерн ВНИИНС»
Наименование ПО
Astra Linux Special Edition
Red Hat Enterprise Linux
Red Hat Software Collections
JBoss Core Services
Astra Linux Special Edition для «Эльбрус»
Jboss Web Server
Fedora
РЕД ОС
Альт 8 СП
HTTP Server
ОСОН ОСнова Оnyx
ROSA Virtualization
ОС ОН «Стрелец»
ROSA Virtualization 3.0
Версия ПО
1.6 «Смоленск» (Astra Linux Special Edition)
8 (Red Hat Enterprise Linux)
- (Red Hat Software Collections)
- (JBoss Core Services)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
3 (Jboss Web Server)
35 (Fedora)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
36 (Fedora)
9 (Red Hat Enterprise Linux)
2.4.53 (HTTP Server)
4.7 (Astra Linux Special Edition)
до 2.5 (ОСОН ОСнова Оnyx)
2.1 (ROSA Virtualization)
до 16.01.2023 (ОС ОН «Стрелец»)
3.0 (ROSA Virtualization 3.0)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Сетевое программное средство
ПО виртуализации/ПО виртуального программно-аппаратного средства
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Red Hat, Inc. Red Hat Enterprise Linux 8
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
Fedora Project Fedora 35
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
Fedora Project Fedora 36
Red Hat, Inc. Red Hat Enterprise Linux 9
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «НППКТ» ОСОН ОСнова Оnyx до 2.5
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Apache:
https://httpd.apache.org/security/vulnerabilities_24.html
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-30556
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YPY2BLEVJWFH34AX77ZJPLD2OOBYR6ND/
https://bodhi.fedoraproject.org/updates/FEDORA-2022-b54a8dee29
https://bodhi.fedoraproject.org/updates/FEDORA-2022-e620fb15d5
Для ОС Альт 8 СП:
установка обновления из публичного репозитория программного средства
https://altsp.su/obnovleniya-bezopasnosti/
Для ОСОН Основа:
Обновление программного обеспечения apache2 до версии 2.4.54-1osnova10
Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
Для ОС Astra Linux Special Edition 1.7:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD
Для системы управления средой виртуализации «ROSA Virtualization»:
https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2161
Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Для ОС ОН «Стрелец»:
Обновление программного обеспечения apache2 до версии 2.4.54-2osnova11.strelets
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 93%
0.05413
Низкий
6.8 Medium
CVSS3
5.4 Medium
CVSS2
Связанные уязвимости
CVSS3: 9.8
altlinux
больше 4 лет назад
ALT-PU-2022-2095: package `apache2` update to version 2.4.54-alt1
CVSS3: 9.8
altlinux
больше 4 лет назад
ALT-PU-2022-2087: package `apache2` update to version 2.4.54-alt1
CVSS3: 7.5
ubuntu
больше 4 лет назад
Apache HTTP Server 2.4.53 and earlier may return lengths to applications calling r:wsread() that point past the end of the storage allocated for the buffer.
CVSS3: 7.5
redhat
больше 4 лет назад
Apache HTTP Server 2.4.53 and earlier may return lengths to applications calling r:wsread() that point past the end of the storage allocated for the buffer.
EPSS
Процентиль: 93%
0.05413
Низкий
6.8 Medium
CVSS3
5.4 Medium
CVSS2