BDU:2023-00495

Опубликовано: 12 июл. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость модуля mod_proxy_ajp веб-сервера Apache HTTP Server связана с недостатками обработки заголовка Transfer-Encoding. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)

Вендор

ООО «РусБИТех-Астра»

Novell Inc.

Red Hat Inc.

ООО «Ред Софт»

АО «ИВК»

Apache Software Foundation

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Astra Linux Special Edition

SUSE Linux Enterprise Server for SAP Applications

Red Hat Enterprise Linux

Suse Linux Enterprise Server

SUSE Linux Enterprise Software Development Kit

Red Hat Software Collections

SUSE OpenStack Cloud

Astra Linux Special Edition для «Эльбрус»

openSUSE Tumbleweed

РЕД ОС

Альт 8 СП

HTTP Server

ОСОН ОСнова Оnyx

ROSA Virtualization

ОС ОН «Стрелец»

ROSA Virtualization 3.0

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

12 SP4 (SUSE Linux Enterprise Server for SAP Applications)

8 (Red Hat Enterprise Linux)

12 SP2-BCL (Suse Linux Enterprise Server)

12 SP5 (Suse Linux Enterprise Server)

12 SP5 (SUSE Linux Enterprise Server for SAP Applications)

12 SP5 (SUSE Linux Enterprise Software Development Kit)

- (Red Hat Software Collections)

9 (SUSE OpenStack Cloud)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

- (openSUSE Tumbleweed)

Crowbar 9 (SUSE OpenStack Cloud)

12 SP4-ESPOS (Suse Linux Enterprise Server)

12 SP4-LTSS (Suse Linux Enterprise Server)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

9 (Red Hat Enterprise Linux)

4.7 (Astra Linux Special Edition)

от 2.4.0 до 2.4.55 (HTTP Server)

до 2.7 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

до 20.10.2023 (ОС ОН «Стрелец»)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. Suse Linux Enterprise Server 12 SP2-BCL

Novell Inc. Suse Linux Enterprise Server 12 SP5

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Novell Inc. openSUSE Tumbleweed -

Novell Inc. Suse Linux Enterprise Server 12 SP4-ESPOS

Novell Inc. Suse Linux Enterprise Server 12 SP4-LTSS

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

Red Hat Inc. Red Hat Enterprise Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.7

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 20.10.2023

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache HTTP Server:

https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2022-36760

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-36760

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2022-36760.html

Для ОСОН ОСнова Оnyx (версия 2.7):

Обновление программного обеспечения apache2 до версии 2.4.55-1osnova12.onyx

Для ОС Альт 8 СП:

установка обновления из публичного репозитория программного средства

Для Astra Linux Special Edition 1.7:

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для архитектуры ARM для 4.7:

https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD

Для системы управления средой виртуализации «ROSA Virtualization»:

https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2161

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения apache2 до версии 2.4.56-1osnova13.strelets

Для Astra Linux 1.6 «Смоленск»:

обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se10 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-36760
CVE

EPSS

Процентиль: 52%

0.00295

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20240603-04

CVSS3: 9.8

redos

больше 1 года назад

Множественные уязвимости httpd

CVE-2022-36760

CVSS3: 9

ubuntu

почти 3 года назад

Inconsistent Interpretation of HTTP Requests ('HTTP Request Smuggling') vulnerability in mod_proxy_ajp of Apache HTTP Server allows an attacker to smuggle requests to the AJP server it forwards requests to. This issue affects Apache HTTP Server Apache HTTP Server 2.4 version 2.4.54 and prior versions.

CVE-2022-36760

CVSS3: 6.5

redhat

почти 3 года назад

CVE-2022-36760

CVSS3: 9

nvd

почти 3 года назад

CVE-2022-36760

CVSS3: 9

msrc

почти 3 года назад

Apache HTTP Server: mod_proxy_ajp Possible request smuggling

EPSS

Процентиль: 52%

0.00295

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2