Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

BDU:2021-00779

CVSS: 7.3

07.08.2020

Уязвимость реализации механизма HTTP/2 веб-сервера Apache HTTP Server, позволяющая нарушителю вызвать отказ в обслуживании или привести к неверной конфигурации сервера

Уязвимость реализации механизма HTTP/2 веб-сервера Apache HTTP Server связана с непоследовательной интерпретацией http-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или привести к неверной конфигурации сервера

Статус уязвимости:	Подтверждена производителем Уязвимость устранена
Дата выявления:	07.08.2020
Класс уязвимости:	Уязвимость архитектуры
Наличие эксплойта:	Существует в открытом доступе
Способ эксплуатации:	Подмена при взаимодействии
Способ устранения:	Нет данных
Меры по устранению:	Использование рекомендаций: Для Apache: https://httpd.apache.org/security/vulnerabilities_24.html#CVE-2020-11993 https://lists.apache.org/thread.html/r5debe8f82728a00a4a68bc904dd6c35423bdfc8d601cfb4579f38bf1@%3Cdev.httpd.apache.org%3E https://lists.apache.org/thread.html/r623de9b2b2433a87f3f3a15900419fc9c00c77b26936dfea4060f672@%3Cdev.httpd.apache.org%3E https://lists.apache.org/thread.html/r9e9f1a7609760f0f80562eaaec2aa3c32d525c3e0fca98b475240c71@%3Cdev.httpd.apache.org%3E Для программных продуктов Novell Inc.: http://lists.opensuse.org/opensuse-security-announce/2020-08/msg00068.html http://lists.opensuse.org/opensuse-security-announce/2020-08/msg00071.html http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00081.html Для программных продуктов Oracle Corp.: https://www.oracle.com/security-alerts/cpujan2021.html https://www.oracle.com/security-alerts/cpuoct2020.html Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4NKWG2EXAQQB6LMLATKZ7KLSRGCSHVAN/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ITVFDBVM6E3JF3O7RYLRPRCH3RDRHJJY/ Для Ubuntu: https://ubuntu.com/security/notices/USN-4458-1 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2020-11993 Для Debian: https://security-tracker.debian.org/tracker/CVE-2020-11993 Для Astra Linux: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81 Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2155 Для ОС ОН «Стрелец»: Обновление программного обеспечения apache2 до версии 2.4.54-2osnova11.strelets

Идентификатор типа ошибки

Идентификатор, установленный в соответствии с общим перечнем ошибок CWE

Идентификатор	Описание
CWE-400	Неконтролируемое использование ресурсов (исчерпание ресурсов)
CWE-444	CWE-444 HTTP Request Smuggling

Идентификаторы CVE уязвимостей

Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности

Идентификатор	Описание
CVE-2020-11993	Apache HTTP Server versions 2.4.20 to 2.4.43 When trace/debug was enabled for the HTTP/2 module and on certain traffic edge p...

CVSS

Система общей оценки уязвимостей

Оценка	Severity	Версия	Базовый вектор
4.3	MEDIUM	2.0	AV:N/AC:M/Au:N/C:N/I:N/A:P
7.3	HIGH	3.0	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Идентификаторы других систем описаний уязвимостей

CVE-2020-11993

Вендор:	Сообщество свободного программного обеспечения Canonical Ltd. ООО «РусБИТех-Астра» Oracle Corp. Red Hat Inc. Novell Inc. Fedora Project Apache Software Foundation АО «НТЦ ИТ РОСА» АО «Концерн ВНИИНС»
Тип ПО:	Операционная система Прикладное ПО информационных систем Сетевое программное средство ПО программно-аппаратного средства
Наименование ПО:	Debian GNU/Linux Ubuntu Astra Linux Special Edition Instantis EnterpriseTrack Astra Linux Common Edition Red Hat Enterprise Linux OpenSUSE Leap Fedora Astra Linux Special Edition для «Эльбрус» JBoss Core Services Enterprise Manager Ops Center Sun ZFS Storage Appliance Kit Oracle Communications Element Manager Oracle Communications Session Report Manager Oracle Communications Session Route Manager Hyperion Infrastructure Technology Apache HTTP Server ROSA Virtualization ОС ОН «Стрелец»
Версия ПО:	9 (Debian GNU/Linux) 18.04 LTS (Ubuntu) 1.6 «Смоленск» (Astra Linux Special Edition) 8.0 (Debian GNU/Linux) 17.1 (Instantis EnterpriseTrack) 17.2 (Instantis EnterpriseTrack) 17.3 (Instantis EnterpriseTrack) 2.12 «Орёл» (Astra Linux Common Edition) 8 (Red Hat Enterprise Linux) 15.1 (OpenSUSE Leap) 10 (Debian GNU/Linux) 31 (Fedora) 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус») 32 (Fedora) 20.04 LTS (Ubuntu) 1 (JBoss Core Services) 15.2 (OpenSUSE Leap) 12.4.0.0 (Enterprise Manager Ops Center) 8.8 (Sun ZFS Storage Appliance Kit) от 8.2.0 до 8.2.2 включительно (Oracle Communications Element Manager) от 8.2.0 до 8.2.2 включительно (Oracle Communications Session Report Manager) от 8.2.0 до 8.2.2 включительно (Oracle Communications Session Route Manager) 11.1.2.4 (Hyperion Infrastructure Technology) от 2.4.20 до 2.4.43 включительно (Apache HTTP Server) 2.1 (ROSA Virtualization) до 16.01.2023 (ОС ОН «Стрелец»)
ОС и аппаратные платформы:	Debian GNU/Linux (9) Ubuntu (18.04 LTS) Astra Linux Special Edition (1.6 «Смоленск») Debian GNU/Linux (8.0) Astra Linux Common Edition (2.12 «Орёл») Red Hat Enterprise Linux (8) OpenSUSE Leap (15.1) Debian GNU/Linux (10) Fedora (31) Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград») Fedora (32) Ubuntu (20.04 LTS) OpenSUSE Leap (15.2) ROSA Virtualization (2.1) ОС ОН «Стрелец» (до 16.01.2023)
Ссылки на источники:	http://lists.opensuse.org/opensuse-security-announce/2020-08/msg00068.html http://lists.opensuse.org/opensuse-security-announce/2020-08/msg00071.html http://lists.opensuse.org/opensuse-security-announce/2020-10/msg00081.html http://packetstormsecurity.com/files/160393/Apache-2-HTTP2-Module-Concurrent-Pool-Usage.html httpd.apache.org%3E httpd.apache.org/security/vulnerabilities_24.html#CVE-2020-11993 https:// https://access.redhat.com/security/cve/cve-2020-11993 https://lists.apache.org/thread.html/r5debe8f82728a00a4a68bc904dd6c35423bdfc8d601cfb4579f38bf1@%3Cdev. https://lists.apache.org/thread.html/r623de9b2b2433a87f3f3a15900419fc9c00c77b26936dfea4060f672@%3Cdev. https://lists.apache.org/thread.html/r9e9f1a7609760f0f80562eaaec2aa3c32d525c3e0fca98b475240c71@%3Cdev. https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4NKWG2EXAQQB6LMLATKZ7KLSR... https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ITVFDBVM6E3JF3O7RYLRPRCH3... https://nvd.nist.gov/vuln/detail/CVE-2020-11993 https://security-tracker.debian.org/tracker/CVE-2020-11993 https://ubuntu.com/security/notices/USN-4458-1 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16 https://www.debian.org/security/2020/dsa-4757 https://www.oracle.com/security-alerts/cpujan2021.html https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81 https://www.oracle.com/security-alerts/cpuoct2020.html https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2155 https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.

Каталог уязвимостей - БДУ ФСТЭК - BDU:2021-00779