ГлавнаяБаза уязвимостей БДУ → BDU:2023-07013
7.8высокая

BDU:2023-07013 (CVE-2023-39325)

Уязвимость пакета http2 языка программирования Go, позволяющая нарушителю вызвать отказ в обслуживании
Опубликовано: 2023-10-23
Описание

Уязвимость пакета http2 языка программирования Go связана с неконтролируемым расходом ресурсов сервера в результате сброса параметра Server.MaxConcurrentStreams при обработке потока запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии
Red Hat Enterprise Linux (7)Ubuntu (16.04 LTS)Ubuntu (18.04 LTS)OpenSUSE Leap (15.5)Red Hat Enterprise Linux (8)openSUSE TumbleweedRed Hat Storage (3)Ubuntu (20.04 LTS)Red Hat Quay (3)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)OpenSUSE Leap (15.4)SUSE Linux Enterprise Server for SAP Applications (15 SP3)Red Hat Advanced Cluster Management for Kubernetes (2)Suse Linux Enterprise Server (15 SP4)Red Hat OpenShift Container Platform (4)Red Hat Satellite (6)Suse Linux Enterprise Desktop (15 SP4)SUSE Linux Enterprise Server for SAP Applications (15 SP4)Ubuntu (22.04 LTS)Red Hat Enterprise Linux (9)Red Hat OpenStack Platform (16.2)SUSE Manager Retail Branch Server (4.3)SUSE Manager Proxy (4.3)SUSE Manager Server (4.3)SUSE Linux Enterprise High Performance Computing (15 SP4)SUSE Enterprise Storage (7.1)SUSE Linux Enterprise Module for Development Tools (15 SP4)Red Hat Enterprise Linux (8.6 Extended Update Support)
Способ устранения

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Go:
https://github.com/golang/go/issues/63426
https://github.com/golang/go/issues/63417
https://pkg.go.dev/golang.org/x/net@v0.17.0/http2?tab=versions
https://github.com/golang/go/tags
https://go-review.googlesource.com/c/go/+/534235
https://go-review.googlesource.com/c/net/+/534215

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-39325

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/



Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2831



Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2830

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-39325

Для Ubuntu:
https://ubuntu.com/security/CVE-2023-39325

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2023-39325.html

Оценка CVSS
Балл7.8 — высокая опасность
Источники и патчи
https://vuldb.com/ru/?id.241988https://github.com/golang/go/issues/63417https://go.dev/cl/534215https://go.dev/cl/534235https://go.dev/issue/63417https://groups.google.com/g/golang-announce/c/iNNxDTCjZvo/m/UDd7VKQuAAAJhttps://bugzilla.redhat.com/show_bug.cgi?id=2243296http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Проверьте безопасность своего сайта и почты → Полная проверка домена