BDU:2019-01572 (CVE-2019-3878)

Уязвимость функции register_hooks() веб-сервера Apache HTTP Server, связанная с возможностью обхода аутентификации, позволяющая нарушителю обойти существующий механизм контроля доступа

Опубликовано: 2019-04-25

Описание

Уязвимость функции register_hooks() (mod_auth_mellon) веб-сервера Apache HTTP Server связана с возможностью обхода аутентификации через запуск специального SAML ECP. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующий механизм контроля доступа путем использования специальных HTTP-заголовков

Затрагиваемое ПО и версии

Debian GNU/Linux (9)HTTP Server (до 0.14.2)Debian GNU/Linux (8)

Способ устранения

Для libapache2-mod-auth-mellon:
Обновление программного обеспечения до 0.14.2 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета libapache2-mod-auth-mellon) до 0.12.0-2+deb9u1 или более поздней версии

Оценка CVSS

Балл	8.5 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2019-3878 https://security-tracker.debian.org/tracker/CVE-2019-3878 https://access.redhat.com/security/cve/cve-2019-3878

Проверьте безопасность своего сайта и почты → Полная проверка домена