BDU:2019-03642 (CVE-2019-15892)

Уязвимость синтаксического анализа HTTP/1 HTTP-ускорителя Varnish, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2019-10-16

Описание

Уязвимость синтаксического анализа HTTP/1 HTTP-ускорителя Varnish существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Fedora (29)Red Hat Enterprise Linux (8)OpenSUSE Leap (15.0)OpenSUSE Leap (15.1)Fedora (30)Debian GNU/Linux (10)Fedora (31)Varnish (от 6.0.0 до 6.0.4)Varnish (от 6.1.0 до 6.1.1 включительно)Varnish (от 6.2.0 до 6.2.1)Red Hat Software Collections

Способ устранения

Использование рекомендаций:
Для varnish:

https://varnish-cache.org/security/VSV00003.html

Для Debian:

Обновление программного обеспечения (пакета varnish) до 6.1.1-1+deb10u1 или более поздней версии

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2019-15892

Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00069.html
https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00089.html

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3OEOCYRU43TWEU2C65F3D6GK64MSWNNK/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DBAQF6UDRSTURGINIMSMLJR4PTDYWA7C/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/KLSF54TDJWJLINIFEW5V5BKDNY5EQRR3/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://varnish-cache.org/security/VSV00003.html https://nvd.nist.gov/vuln/detail/CVE-2019-15892 https://security-tracker.debian.org/tracker/CVE-2019-15892 https://varnish-cache.org/security/VSV00003.html https://access.redhat.com/security/cve/CVE-2019-15892 https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00069.html https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00089.html https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3OEOCYRU43TWEU2C65F3D6GK64MSWNNK/

Проверьте безопасность своего сайта и почты → Полная проверка домена