BDU:2021-04216 (CVE-2021-33193)

Уязвимость модуля mod_proxy httpd-демона веб-сервера Apache HTTP Server, позволяющая нарушителю отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)

Опубликовано: 2021-08-25

Описание

Уязвимость модуля mod_proxy httpd-демона веб-сервера Apache HTTP Server связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Astra Linux Common Edition (2.12 «Орёл»)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)HTTP Server (от 2.4 до 2.4.48 включительно)Debian GNU/Linux (11)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)Альт 8 СПОСОН ОСнова Оnyx (до 2.3)ROSA Virtualization (2.1)ОС ОН «Стрелец» (до 16.01.2023)ROSA Virtualization 3.0 (3.0)

Способ устранения

Использование рекомендаций:
https://github.com/apache/httpd/commit/ecebcc035ccd8d0e2984fe41420d9e944f456b3c

Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0318SE17MD
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0318SE47MD
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20220318SE816MD
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220318SE16MD
https://wiki.astralinux.ru/astra-linux-ce212-MD-2022-0318MD
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2021-33193

Для ОСОН Основа:

Обновление программного обеспечения apache2 до версии 2.4.51-1~deb11u1.osnova8

Для Astra Linux Special Edition 4.7 (для архитектуры ARM):
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47

Для системы управления средой виртуализации "ROSA Virtualization":
https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2155
https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2159

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения apache2 до версии 2.4.54-2osnova11.strelets

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899

Оценка CVSS

Балл	5.8 — средняя опасность

Источники и патчи

https://portswigger.net/research/http2 https://github.com/apache/httpd/commit/ecebcc035ccd8d0e2984fe41420d9e944f456b3c https://habr.com/ru/news/t/571694/https://vulmon.com/vendoradvisory?qidtp=arch_linux_issues&qid=CVE-2021-33193%20log https://security.archlinux.org/CVE-2021-33193 https://www.opennet.ru/opennews/art.shtml?num=55601&s=09 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0318SE17MD https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0318SE47MD

Проверьте безопасность своего сайта и почты → Полная проверка домена