BDU:2019-02559 (CVE-2019-0196)

Уязвимость модуля mod_http2 веб-сервера Apache HTTP Server, позволяющая нарушителю вызвать отказ в обслуживании или получить доступ к конфиденциальной информации

Опубликовано: 2019-07-18

Описание

Уязвимость модуля mod_http2 веб-сервера Apache HTTP Server связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или получить доступ к конфиденциальной информации путем отправки специально сформированного запроса

Затрагиваемое ПО и версии

Ubuntu (16.04 LTS)Debian GNU/Linux (9)OpenSUSE Leap (42.3)Ubuntu (18.04 LTS)Enterprise Manager Ops Center (12.3.3)Ubuntu (18.10)Astra Linux Special Edition (1.6 «Смоленск»)Fedora (29)Retail Xstore Point of Service (7.0)Astra Linux Common Edition (2.12 «Орёл»)OpenSUSE Leap (15.0)Fedora (30)Ubuntu (14.04 ESM)Debian GNU/Linux (8)Enterprise Manager Ops Center (12.4.0)Debian GNU/Linux (10)Retail Xstore Point of Service (7.1)JBoss Core ServicesHTTP Server (от 2.4.34 до 2.4.38 включительно)ROSA Virtualization (2.1)ROSA Virtualization 3.0 (3.0)

Способ устранения

Использование рекомендаций:
Для Ubuntu:
https://usn.ubuntu.com/3937-1/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WETXNQWNQLWHV6XNW6YTO5UGDTIWAQGT/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XWRYD6JMEJ6O3JKJZFNOYXMJJU5JMEJK/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YTJPHI3E3OKW7OT7COQXVG7DE7IDQ2OT/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/errata/RHSA-2019:3932
https://access.redhat.com/errata/RHSA-2019:3933
https://access.redhat.com/errata/RHSA-2019:3935

Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2019-04/msg00051.html
https://lists.opensuse.org/opensuse-security-announce/2019-04/msg00061.html
https://lists.opensuse.org/opensuse-security-announce/2019-04/msg00084.html

Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpuapr2020.html
https://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html
https://www.oracle.com/technetwork/security-advisory/cpuoct2019-5072832.html

Для Apache:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YTJPHI3E3OKW7OT7COQXVG7DE7IDQ2OT/

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2019-0196

Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2860

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2859

Оценка CVSS

Балл	5 — средняя опасность

Источники и патчи

http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00051.html http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00061.html http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00084.html http://www.apache.org/dist/http://www.openwall.com/lists/oss-security/2019/04/02/1 http://www.securityfocus.com/bid/107669 httpd.apache.org%3E httpd.apache.org/security/vulnerabilities_24.html

Проверьте безопасность своего сайта и почты → Полная проверка домена