BDU:2025-15638

Опубликовано: 19 нояб. 2025

Источник: fstec

CVSS3: 5.4

CVSS2: 5.5

EPSS Низкий

Описание

Уязвимость модуля mod_userdir веб-сервера Apache HTTP Server связана с обходом процедуры аутентификации посредством использования альтернативного пути или канала. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии и выполнить произвольный код

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

АО «ИВК»

Canonical Ltd.

ООО «РусБИТех-Астра»

Fedora Project

Apache Software Foundation

ООО «Ред Софт»

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

Альт 8 СП

Ubuntu

Red Hat JBoss Core Services

АЛЬТ СП 10

Astra Linux Special Edition

Fedora

HTTP Server

РЕД ОС

Версия ПО

8 (Red Hat Enterprise Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

- (Альт 8 СП)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

- (Red Hat JBoss Core Services)

- (АЛЬТ СП 10)

RHEL 8 (Red Hat JBoss Core Services)

RHEL 7 (Red Hat JBoss Core Services)

24.04 LTS (Ubuntu)

1.8 (Astra Linux Special Edition)

42 (Fedora)

10 (Red Hat Enterprise Linux)

13 (Debian GNU/Linux)

43 (Fedora)

25.10 (Ubuntu)

от 2.4.7 до 2.4.65 включительно (HTTP Server)

8.0 (РЕД ОС)

3.8 (Astra Linux Special Edition)

2.4.62.SP3 (Red Hat JBoss Core Services)

Тип ПО

Операционная система

Микропрограммный код аппаратных компонент компьютера

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

АО «ИВК» Альт 8 СП -

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 9

АО «ИВК» АЛЬТ СП 10 -

Canonical Ltd. Ubuntu 24.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Fedora Project Fedora 42

Red Hat Inc. Red Hat Enterprise Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 13

Fedora Project Fedora 43

Canonical Ltd. Ubuntu 25.10

ООО «Ред Софт» РЕД ОС 8.0

ООО «РусБИТех-Астра» Astra Linux Special Edition 3.8

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,4)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Apache HTTP Server:

Обновление программного обеспечения до версии 2.4.66 и выше:

https://httpd.apache.org/security/vulnerabilities_24.html

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:

обновить пакет apache2 до 2.4.65-3astra.se4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0224SE18

Для ОС Astra Linux:

обновить пакет apache2 до 2.4.65-3astra.se4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0305SE38

Для Ред ОС:

http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2025-66200

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-66200

Для Ubuntu:

https://ubuntu.com/security/CVE-2025-66200

Для Fedora:

https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2025-66200

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-66200
CVE

EPSS

Процентиль: 17%

0.00055

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2

Связанные уязвимости

ROS-20260122-73-0028

CVSS3: 5.4

redos

2 месяца назад

Уязвимость httpd

CVE-2025-66200

CVSS3: 5.4

ubuntu

4 месяца назад

mod_userdir+suexec bypass via AllowOverride FileInfo vulnerability in Apache HTTP Server. Users with access to use the RequestHeader directive in htaccess can cause some CGI scripts to run under an unexpected userid. This issue affects Apache HTTP Server: from 2.4.7 through 2.4.65. Users are recommended to upgrade to version 2.4.66, which fixes the issue.

CVE-2025-66200

CVSS3: 5.4

redhat

4 месяца назад

CVE-2025-66200

CVSS3: 5.4

nvd

4 месяца назад

CVE-2025-66200

CVSS3: 5.4

msrc

3 месяца назад

Apache HTTP Server: mod_userdir+suexec bypass via AllowOverride FileInfo

EPSS

Процентиль: 17%

0.00055

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2