Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-02584

Опубликовано: 25 окт. 2023
Источник: fstec
CVSS3: 4.9
CVSS2: 6.1
EPSS Низкий

Описание

Уязвимость брокера сообщений RabbitMQ связана с отсутствием ограничение HTTP API на размер тела HTTP-запроса, что делало его уязвимым для очень больших сообщений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

ООО «Ред Софт»
ООО «РусБИТех-Астра»
Pivotal Software Inc.
АО "НППКТ"

Наименование ПО

РЕД ОС
Astra Linux Special Edition
RabbitMQ
ОСОН ОСнова Оnyx

Версия ПО

7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 3.11.24 (RabbitMQ)
от 3.12.0 до 3.12.7 (RabbitMQ)
до 2.11 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.11

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,1)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,9)

Возможные меры по устранению уязвимости

Для Rabbitmq:
https://github.com/rabbitmq/rabbitmq-server/security/advisories/GHSA-w6cq-9cf4-gqpg
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОСОН ОСнова Оnyx (2.11):
Обновление программного обеспечения rabbitmq-server до версии 3.8.9-3+deb11u1
Для ОС Astra Linux:
обновить пакет rabbitmq-server до 3.8.2-1+deb10u2+ci202402191304 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет rabbitmq-server до 3.8.2-1+deb10u2+ci202402191304 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 49%
0.00258
Низкий

4.9 Medium

CVSS3

6.1 Medium

CVSS2

Связанные уязвимости

CVSS3: 4.9
ubuntu
больше 1 года назад

RabbitMQ is a multi-protocol messaging and streaming broker. HTTP API did not enforce an HTTP request body limit, making it vulnerable for denial of service (DoS) attacks with very large messages. An authenticated user with sufficient credentials can publish a very large messages over the HTTP API and cause target node to be terminated by an "out-of-memory killer"-like mechanism. This vulnerability has been patched in versions 3.11.24 and 3.12.7.

CVSS3: 4.9
redhat
больше 1 года назад

RabbitMQ is a multi-protocol messaging and streaming broker. HTTP API did not enforce an HTTP request body limit, making it vulnerable for denial of service (DoS) attacks with very large messages. An authenticated user with sufficient credentials can publish a very large messages over the HTTP API and cause target node to be terminated by an "out-of-memory killer"-like mechanism. This vulnerability has been patched in versions 3.11.24 and 3.12.7.

CVSS3: 4.9
nvd
больше 1 года назад

RabbitMQ is a multi-protocol messaging and streaming broker. HTTP API did not enforce an HTTP request body limit, making it vulnerable for denial of service (DoS) attacks with very large messages. An authenticated user with sufficient credentials can publish a very large messages over the HTTP API and cause target node to be terminated by an "out-of-memory killer"-like mechanism. This vulnerability has been patched in versions 3.11.24 and 3.12.7.

CVSS3: 4.9
msrc
12 месяцев назад

Описание отсутствует

CVSS3: 4.9
debian
больше 1 года назад

RabbitMQ is a multi-protocol messaging and streaming broker. HTTP API ...

EPSS

Процентиль: 49%
0.00258
Низкий

4.9 Medium

CVSS3

6.1 Medium

CVSS2