BDU:2024-02691

Опубликовано: 04 апр. 2024

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Средний

Описание

Уязвимость библиотеки nghttp2 (в части реализации протокола HTTP/2) связана с неконтролируемым расходом ресурсов в результате некорректного определения окончания заголовка при обработке фреймов CONTINUATION. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

ООО «РусБИТех-Астра»

ООО «Ред Софт»

АО «ИВК»

АО «НТЦ ИТ РОСА»

Сообщество свободного программного обеспечения

Наименование ПО

Astra Linux Special Edition

РЕД ОС

Альт 8 СП

РОСА Кобальт

АЛЬТ СП 10

nghttp2

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

4.7 (Astra Linux Special Edition)

7.9 (РОСА Кобальт)

- (АЛЬТ СП 10)

до 1.61.0 (nghttp2)

Тип ПО

Операционная система

Сетевое средство

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9

АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://github.com/nghttp2/nghttp2/security/advisories/GHSA-x6x3-gv8h-m57q

Компенсирующие меры:

- использование систем обнаружения и предотвращения вторжений, позволяющих предотвратить реализацию атаки CONTINUATION Floud;

- ограничить использование протокола HTTP/2 (перейти на HTTP /1.1).

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:

обновить пакет nghttp2 до 1.36.0-2+deb10u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 1.6 «Смоленск»::

обновить пакет nghttp2 до 1.36.0-2+deb10u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

обновить пакет nghttp2 до 1.36.0-2+deb10u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2525

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-28182
CVE

EPSS

Процентиль: 95%

0.18934

Средний

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

ROS-20240507-08

CVSS3: 5.3

redos

около 1 года назад

Уязвимость nghttp2

CVE-2024-28182

CVSS3: 5.3

ubuntu

около 1 года назад

nghttp2 is an implementation of the Hypertext Transfer Protocol version 2 in C. The nghttp2 library prior to version 1.61.0 keeps reading the unbounded number of HTTP/2 CONTINUATION frames even after a stream is reset to keep HPACK context in sync. This causes excessive CPU usage to decode HPACK stream. nghttp2 v1.61.0 mitigates this vulnerability by limiting the number of CONTINUATION frames it accepts per stream. There is no workaround for this vulnerability.

CVE-2024-28182

CVSS3: 5.3

redhat

около 1 года назад

CVE-2024-28182

CVSS3: 5.3

nvd

около 1 года назад

CVE-2024-28182

CVSS3: 5.3

msrc

10 месяцев назад

Описание отсутствует

EPSS

Процентиль: 95%

0.18934

Средний

5.3 Medium

CVSS3

5 Medium

CVSS2