BDU:2022-04147

Опубликовано: 08 июн. 2022

Источник: fstec

CVSS3: 5.9

CVSS2: 5.4

EPSS Низкий

Описание

Уязвимость модуля mod_lua веб-сервера Apache HTTP Server связана с неограниченным распределением ресурсов при обработке функции с нулевым параметром r:parsebody(0). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально созданного HTTP-запроса

Вендор

ООО «РусБИТех-Астра»

Red Hat Inc.

Fedora Project

ООО «Ред Софт»

АО «ИВК»

Apache Software Foundation

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Astra Linux Special Edition

Red Hat Enterprise Linux

Red Hat Software Collections

JBoss Core Services

Astra Linux Special Edition для «Эльбрус»

Jboss Web Server

Fedora

РЕД ОС

Альт 8 СП

Apache HTTP Server

ОСОН ОСнова Оnyx

ROSA Virtualization

ОС ОН «Стрелец»

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

8 (Red Hat Enterprise Linux)

- (Red Hat Software Collections)

- (JBoss Core Services)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

3 (Jboss Web Server)

35 (Fedora)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

36 (Fedora)

9 (Red Hat Enterprise Linux)

до 2.4.54 (Apache HTTP Server)

до 2.5 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 8

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Fedora Project Fedora 35

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

Fedora Project Fedora 36

Red Hat Inc. Red Hat Enterprise Linux 9

АО "НППКТ" ОСОН ОСнова Оnyx до 2.5

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,9)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache:

https://httpd.apache.org/security/vulnerabilities_24.html

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-29404

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YPY2BLEVJWFH34AX77ZJPLD2OOBYR6ND/

https://bodhi.fedoraproject.org/updates/FEDORA-2022-b54a8dee29

https://bodhi.fedoraproject.org/updates/FEDORA-2022-e620fb15d5

Для ОС Альт 8 СП:

установка обновления из публичного репозитория программного средства

https://altsp.su/obnovleniya-bezopasnosti/

Для ОСОН Основа:

Обновление программного обеспечения apache2 до версии 2.4.54-1osnova10

Для ОС Astra Linux:

использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16

Для ОС Astra Linux Special Edition 1.7:

использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD

Для системы управления средой виртуализации «ROSA Virtualization»:

https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2161

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения apache2 до версии 2.4.54-2osnova11.strelets

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-29404
CVE

EPSS

Процентиль: 82%

0.01862

Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVE-2022-29404

CVSS3: 7.5

ubuntu

около 3 лет назад

In Apache HTTP Server 2.4.53 and earlier, a malicious request to a lua script that calls r:parsebody(0) may cause a denial of service due to no default limit on possible input size.

CVE-2022-29404

CVSS3: 7.5

redhat

около 3 лет назад

In Apache HTTP Server 2.4.53 and earlier, a malicious request to a lua script that calls r:parsebody(0) may cause a denial of service due to no default limit on possible input size.

CVE-2022-29404

CVSS3: 7.5

nvd

около 3 лет назад

In Apache HTTP Server 2.4.53 and earlier, a malicious request to a lua script that calls r:parsebody(0) may cause a denial of service due to no default limit on possible input size.

CVE-2022-29404

CVSS3: 7.5

debian

около 3 лет назад

In Apache HTTP Server 2.4.53 and earlier, a malicious request to a lua ...

GHSA-jq5m-vpg7-ghpv

CVSS3: 7.5

github

около 3 лет назад

In Apache HTTP Server 2.4.53 and earlier, a malicious request to a lua script that calls r:parsebody(0) may cause a denial of service due to no default limit on possible input size.

EPSS

Процентиль: 82%

0.01862

Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2