BDU:2022-04106

Опубликовано: 08 июн. 2022

Источник: fstec

CVSS3: 6.8

CVSS2: 5.4

EPSS Низкий

Описание

Уязвимость функции r:wsread() модуля mod_lua веб-сервера Apache HTTP Server связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Вендор

ООО «РусБИТех-Астра»

Red Hat Inc.

Fedora Project

ООО «Ред Софт»

АО «ИВК»

Apache Software Foundation

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Astra Linux Special Edition

Red Hat Enterprise Linux

Red Hat Software Collections

JBoss Core Services

Astra Linux Special Edition для «Эльбрус»

Jboss Web Server

Fedora

РЕД ОС

Альт 8 СП

Apache HTTP Server

ОСОН ОСнова Оnyx

ROSA Virtualization

ОС ОН «Стрелец»

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

8 (Red Hat Enterprise Linux)

- (Red Hat Software Collections)

- (JBoss Core Services)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

3 (Jboss Web Server)

35 (Fedora)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

36 (Fedora)

9 (Red Hat Enterprise Linux)

2.4.53 (Apache HTTP Server)

4.7 (Astra Linux Special Edition)

до 2.5 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 8

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Fedora Project Fedora 35

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

Fedora Project Fedora 36

Red Hat Inc. Red Hat Enterprise Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.5

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache:

https://httpd.apache.org/security/vulnerabilities_24.html

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-30556

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YPY2BLEVJWFH34AX77ZJPLD2OOBYR6ND/

https://bodhi.fedoraproject.org/updates/FEDORA-2022-b54a8dee29

https://bodhi.fedoraproject.org/updates/FEDORA-2022-e620fb15d5

Для ОС Альт 8 СП:

установка обновления из публичного репозитория программного средства

https://altsp.su/obnovleniya-bezopasnosti/

Для ОСОН Основа:

Обновление программного обеспечения apache2 до версии 2.4.54-1osnova10

Для ОС Astra Linux:

использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16

Для ОС Astra Linux Special Edition 1.7:

использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD

Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:

использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD

Для системы управления средой виртуализации «ROSA Virtualization»:

https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2161

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения apache2 до версии 2.4.54-2osnova11.strelets

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-30556
CVE

EPSS

Процентиль: 40%

0.00178

Низкий

6.8 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVE-2022-30556

CVSS3: 7.5

ubuntu

около 3 лет назад

Apache HTTP Server 2.4.53 and earlier may return lengths to applications calling r:wsread() that point past the end of the storage allocated for the buffer.

CVE-2022-30556

CVSS3: 7.5

redhat

около 3 лет назад

Apache HTTP Server 2.4.53 and earlier may return lengths to applications calling r:wsread() that point past the end of the storage allocated for the buffer.

CVE-2022-30556

CVSS3: 7.5

nvd

около 3 лет назад

Apache HTTP Server 2.4.53 and earlier may return lengths to applications calling r:wsread() that point past the end of the storage allocated for the buffer.

CVE-2022-30556

CVSS3: 7.5

debian

около 3 лет назад

Apache HTTP Server 2.4.53 and earlier may return lengths to applicatio ...

GHSA-gvrr-g8v5-hjqr

CVSS3: 7.5

github

около 3 лет назад

Apache HTTP Server 2.4.53 and earlier may return lengths to applications calling r:wsread() that point past the end of the storage allocated for the buffer.

EPSS

Процентиль: 40%

0.00178

Низкий

6.8 Medium

CVSS3

5.4 Medium

CVSS2