ГлавнаяБаза уязвимостей БДУ → BDU:2024-10555
4средняя

BDU:2024-10555 (CVE-2024-11234)

Уязвимость конфигурации request_fulluri интерпретатора языка программирования PHP, позволяющая нарушителю отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)
Опубликовано: 2024-12-02
Описание

Уязвимость конфигурации request_fulluri интерпретатора языка программирования PHP связана с непринятием мер по нейтрализации CRLF-последовательностей в результате использования значения true. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling)

Затрагиваемое ПО и версии
Red Hat Enterprise Linux (8)РЕД ОС (7.3)Red Hat Enterprise Linux (9)Astra Linux Special Edition (1.8)PHP (от 8.1.0 до 8.1.31)PHP (от 8.2.0 до 8.2.26)PHP (от 8.3.0 до 8.3.14)
Способ устранения

Использование рекомендаций:
Для PHP:
https://php.watch/versions/8.1/releases/8.1.31
https://php.watch/versions/8.2/releases/8.2.26
https://php.watch/versions/8.3/releases/8.3.14
https://github.com/php/php-src/releases/tag/php-8.1.31
https://github.com/php/php-src/releases/tag/php-8.2.26
https://github.com/php/php-src/releases/tag/php-8.3.14

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2024-11234



Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/



Для ОС Astra Linux:
обновить пакет php8.2 до 8.2.26-1~deb12u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Оценка CVSS
Балл4 — средняя опасность
Источники и патчи
https://php.watch/versions/8.1/releases/8.1.31https://php.watch/versions/8.2/releases/8.2.26https://php.watch/versions/8.3/releases/8.3.14https://www.cybersecurity-help.cz/vdb/SB2024111985https://github.com/php/php-src/security/advisories/GHSA-c5f2-jwm7-mmq2https://access.redhat.com/security/cve/cve-2024-11234https://vuldb.com/?id.285964http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Проверьте безопасность своего сайта и почты → Полная проверка домена