BDU:2019-01404 (CVE-2019-0211)

Уязвимость модуля MPM веб-сервера Apache HTTP, связанная с использованием памяти после её освобождения, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2019-04-17

Описание

Уязвимость модуля MPM веб-сервера Apache HTTP Server связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с привилегиями root с помощью специально созданного сценария

Затрагиваемое ПО и версии

Ubuntu (14.04 LTS)Ubuntu (16.04 LTS)HTTP Server (2.4.17)HTTP Server (2.4.18)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Enterprise Manager Ops Center (12.3.3)HTTP Server (2.4.20)HTTP Server (2.4.23)HTTP Server (2.4.25)HTTP Server (2.4.26)HTTP Server (2.4.27)HTTP Server (2.4.28)HTTP Server (2.4.29)HTTP Server (2.4.30)HTTP Server (2.4.33)HTTP Server (2.4.34)Ubuntu (18.10)Astra Linux Special Edition (1.6 «Смоленск»)HTTP Server (2.4.38)HTTP Server (2.4.37)HTTP Server (2.4.35)HTTP Server (12.2.1.3.0)Retail Xstore Point of Service (7.0)Instantis EnterpriseTrack (17.1)Instantis EnterpriseTrack (17.2)Instantis EnterpriseTrack (17.3)Astra Linux Common Edition (2.12 «Орёл»)Debian GNU/Linux (8)Enterprise Manager Ops Center (12.4.0)

Способ устранения

Использование рекомендаций:
Для apache2:
Обновление программного обеспечения до 2.4.38-3 или более поздней версии

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2019-0211

Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

[#---]

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2860

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2859

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00051.html http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00061.html http://packetstormsecurity.com/files/152441/CARPE-DIEM-Apache-2.4.x-Local-Privilege-Escalation.html http://www.apache.org/dist/httpd.apache.org%3E httpd.apache.org/security/vulnerabilities_24.html httpd.apache.org/security/vulnerabilities_24.html#CVE-2019-0211 httpd/CHANGES_2.4.39

Проверьте безопасность своего сайта и почты → Полная проверка домена