Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-07171

Опубликовано: 23 окт. 2023
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Средний

Описание

Уязвимость веб-сервера Apache HTTP Server связана с блокировкой обработки соединения HTTP/2, если оно было открыто с выставлением в 0 начального размера скользящего окна. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

ООО «РусБИТех-Астра»
Novell Inc.
ООО «Ред Софт»
АО «ИВК»
Red Hat Inc.
Apache Software Foundation
АО "НППКТ"

Наименование ПО

Astra Linux Special Edition
openSUSE Tumbleweed
РЕД ОС
Альт 8 СП
Red Hat JBoss Core Services
Apache HTTP Server
ОСОН ОСнова Оnyx

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
- (openSUSE Tumbleweed)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
4.7 (Astra Linux Special Edition)
- (Red Hat JBoss Core Services)
до 2.4.57 включительно (Apache HTTP Server)
до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Микропрограммный код аппаратных компонент компьютера
Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Novell Inc. openSUSE Tumbleweed -
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Apache HTTP Server:
https://httpd.apache.org/security/vulnerabilities_24.html
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-43622
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2023-43622.html
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения apache2 до версии 2.4.58-1osnova16.onyx
Для ОС Astra Linux Special Edition 1.7 архитектуры x86-64:
обновить пакет apache2 до 2.4.57-2+astra.se2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0212SE17
Для Astra Linux Special Edition 1.6 «Смоленск»::
обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se12 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет apache2 до 2.4.57-2+astra.se5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 98%
0.56898
Средний

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

redos логотип

ROS-20231030-05

CVSS3: 7.5
redos
больше 1 года назад

Уязвимость Apache httpd

redos логотип

ROS-20240423-01

CVSS3: 7.5
redos
около 1 года назад

Множественные уязвимости varnish

ubuntu логотип

CVE-2023-43622

CVSS3: 7.5
ubuntu
больше 1 года назад

An attacker, opening a HTTP/2 connection with an initial window size of 0, was able to block handling of that connection indefinitely in Apache HTTP Server. This could be used to exhaust worker resources in the server, similar to the well known "slow loris" attack pattern. This has been fixed in version 2.4.58, so that such connection are terminated properly after the configured connection timeout. This issue affects Apache HTTP Server: from 2.4.55 through 2.4.57. Users are recommended to upgrade to version 2.4.58, which fixes the issue.

redhat логотип

CVE-2023-43622

CVSS3: 7.5
redhat
больше 1 года назад

An attacker, opening a HTTP/2 connection with an initial window size of 0, was able to block handling of that connection indefinitely in Apache HTTP Server. This could be used to exhaust worker resources in the server, similar to the well known "slow loris" attack pattern. This has been fixed in version 2.4.58, so that such connection are terminated properly after the configured connection timeout. This issue affects Apache HTTP Server: from 2.4.55 through 2.4.57. Users are recommended to upgrade to version 2.4.58, which fixes the issue.

nvd логотип

CVE-2023-43622

CVSS3: 7.5
nvd
больше 1 года назад

An attacker, opening a HTTP/2 connection with an initial window size of 0, was able to block handling of that connection indefinitely in Apache HTTP Server. This could be used to exhaust worker resources in the server, similar to the well known "slow loris" attack pattern. This has been fixed in version 2.4.58, so that such connection are terminated properly after the configured connection timeout. This issue affects Apache HTTP Server: from 2.4.55 through 2.4.57. Users are recommended to upgrade to version 2.4.58, which fixes the issue.

EPSS

Процентиль: 98%
0.56898
Средний

7.5 High

CVSS3

7.8 High

CVSS2