ГлавнаяБаза уязвимостей БДУ → BDU:2024-02653
7.8высокая

BDU:2024-02653

Уязвимость веб-сервера Apache HTTP Server, связанная с неконтролируемым расходом ресурсов, позволяющая нарушителю вызвать отказ в обслуживании
Опубликовано: 2024-04-06
Описание

Уязвимость веб-сервера Apache HTTP Server (в части реализации протокола HTTP/2) связана с неконтролируемым расходом ресурсов в результате некорректного определения окончания заголовка при обработке фреймов CONTINUATION. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путём отправки специально сформированных HTTP-запросов

Затрагиваемое ПО и версии
Astra Linux Special Edition (1.6 «Смоленск»)Astra Linux Special Edition (1.7)Альт 8 СПAstra Linux Special Edition (4.7)ROSA Virtualization (2.1)АЛЬТ СП 10HTTP Server (до 2.4.58 включительно)ОСОН ОСнова Оnyx (до 2.11.1)ROSA Virtualization 3.0 (3.0)
Способ устранения

Использование рекомендаций:
https://httpd.apache.org/security/vulnerabilities_24.html

Компенсирующие меры:
- использование систем обнаружения и предотвращения вторжений, позволяющих предотвратить реализацию атаки CONTINUATION Floud;
- ограничить использование протокола HTTP/2 (перейти на HTTP /1.1).

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства



Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства



Для ОС Astra Linux:
обновить пакет apache2 до 2.4.57-2+astra.se5 или более высокой версии, используя рекомендации производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для ОСОН Основа Onyx:
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.11.1/

Для Astra Linux Special Edition 1.6 «Смоленск»::
обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se12 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет apache2 до 2.4.57-2+astra.se5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2740

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2852

Оценка CVSS
Балл7.8 — высокая опасность
Источники и патчи
https://blog.segu-info.com.ar/2024/04/ataque-dos-traves-de-vulnerabilidad-en.htmlhttps://kb.cert.org/vuls/id/421644https://nowotarski.info/http2-continuation-flood/https://httpd.apache.org/security/vulnerabilities_24.htmlhttps://altsp.su/obnovleniya-bezopasnosti/https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.11.1/https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
Проверьте безопасность своего сайта и почты → Полная проверка домена