01.04.2024

BDU:2024-06893 (CVE-2024-38473) — уязвимость компонента modules/proxy/mod_proxy.c веб-сервера Apache HTTP Server

По данным БДУ ФСТЭК России, по состоянию на 19.08.2025.

Высокий — 8.1/10 Публичный эксплойт Устранена

Уязвимость компонента modules/proxy/mod_proxy.c веб-сервера Apache HTTP Server связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7, 1.8; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 11, 12; РЕД ОС (ООО «Ред Софт») — версии 7.3; и ещё 6 позиций
Что делать: уязвимость устранена производителем — применить исправления: httpd.apache.org, security-tracker.debian.org, wiki.astralinux.ru
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2024-06893 · CVE-2024-38473
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.1; CVSS 2.0 — 8.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность и доступность
Наименование ФСТЭК	Уязвимость компонента modules/proxy/mod_proxy.c веб-сервера Apache HTTP Server, связанная с недостатком механизма кодирования или экранирования выходных данных, позволяющая нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании
Даты	Опубликована: 13.09.2024 · Обновлена ФСТЭК: 19.08.2025 · Выявлена: 01.04.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-116 — некорректное кодирование или сокрытие выходных данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7, 1.8 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 11, 12 · операционная система
РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
Альт 8 СП (АО «ИВК») — операционная система
ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
АЛЬТ СП 10 (АО «ИВК») — операционная система
HTTP Server (Apache Software Foundation) — от 2.4.0 до 2.4.59 включительно · сетевое программное средство
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.11.1 · операционная система
ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — 3.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление.

Для Apache HTTP Server: использование рекомендаций производителя: httpd.apache.org/security/vulnerabilities_24.html
Для Debian: использование рекомендаций производителя: security-tracker.debian.org/tracker/CVE-2024-38473
Для ОС Astra Linux: обновить пакет apache2 до 2.4.57-2+astra.se5 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства; ОСОН ОСнова Оnyx: Обновление программного обеспечения apache2 до версии 2.4.62-1~deb11u1.osnova19
Для Astra Linux Special Edition 1.6 «Смоленск»: обновить пакет apache2 до 2.4.46-1~bpo9+1astra.se12 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
Для Astra Linux Special Edition 4.7 для архитектуры ARM: обновить пакет apache2 до 2.4.57-2+astra.se5 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47
Для ОС Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD
Для РЕД ОС: redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvenn…; Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: abf.rosa.ru/advisories/ROSA-SA-2025-2804; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosa.ru/advisories/ROSA-SA-2025-2851

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: