CVE-2019-9511
Yüksek
Açıklama
Bazı HTTP/2 uygulamaları, potansiyel olarak hizmet reddine yol açabilen pencere boyutu manipülasyonuna ve akış önceliklendirme manipülasyonuna karşı savunmasızdır. Saldırgan, birden fazla akış üzerinden belirli bir kaynaktan büyük miktarda veri talep eder. Sunucuyu verileri 1 baytlık parçalar halinde kuyruğa almaya zorlamak için pencere boyutunu ve akış önceliğini manipüle ederler. Bu verilerin ne kadar verimli kuyruğa alındığına bağlı olarak, bu durum aşırı CPU, bellek veya her ikisinin tüketimine neden olabilir.
ÖnemYüksek
CVSS7.5
İstismar olasılığı99. yüzdelik%59,5
Ürün
Apple Swiftnio
Yayın13 Ağu 2019
İlk görülme13 Ağu 2019
Zayıflık türüCWE-400Denetimsiz kaynak tüketimi
Nasıl düzeltilir
Güncelleyin
- mcafee web_gateway7.7.2.24, 7.8.2.13, 8.2.0 ya da sonraki bir sürüm
- f5 nginx1.16.1 ya da sonraki bir sürüm
- nodejs node.js8.16.1, 10.16.3, 12.8.1 ya da sonraki bir sürüm
Üretici duyuruları
- usn.ubuntu.com/4099-1/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TAZZEVTCN2B4WT6AIBJ7XGYJMBTORJU5/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/LZLUYPYY3RX4ZJDWZRJIKSULYRJ4PXW7/
- debian.org/security/2019/dsa-4505
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JUBYAF6ED3O4XCHQ5C2HYENJLXYXZC4M/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/BP556LEG3WENHZI5TAQ6ZEBFTJB4E2IS/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/XHTKU7YQ5EEP2XNSAV4M4VJ7QCBOJMOD/
- debian.org/security/2019/dsa-4511
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/POPAEC4FWL4UU4LDEGPY5NPALU24FFQD/
- access.redhat.com/errata/RHSA-2019:2692
- access.redhat.com/errata/RHSA-2019:2745
- access.redhat.com/errata/RHSA-2019:2746
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apple swiftnio | 1.0.0 ≤ v ≤ 1.4.0 | — |
| apache traffic_server | 6.0.0 ≤ v ≤ 6.2.3, 7.0.0 ≤ v ≤ 7.1.6, 8.0.0 ≤ v ≤ 8.0.3 | — |
| canonical ubuntu_linux | 16.04, 18.04, 19.04 | — |
| debian debian_linux | 9.0, 10.0 | — |
| synology skynas | Aralık belirtilmemiş | — |
| synology diskstation_manager | 6.2 | — |
| synology vs960hd_firmware | Aralık belirtilmemiş | — |
| fedoraproject fedora | 29, 30 | — |
| opensuse leap | 15.0, 15.1 | — |
| redhat jboss_core_services | 1.0 | — |
| redhat jboss_enterprise_application_platform | 7.2.0, 7.3.0 | — |
| redhat openshift_service_mesh | 1.0 | — |
| redhat quay | 3.0.0 | — |
| redhat software_collections | 1.0 | — |
| redhat enterprise_linux | 8.0 | — |
| oracle graalvm | 19.2.0 | — |
| mcafee web_gateway | 7.7.2.0 ≤ v < 7.7.2.24, 7.8.2.0 ≤ v < 7.8.2.13, 8.1.0 ≤ v < 8.2.0 | 7.7.2.24, 7.8.2.13, 8.2.0 |
| f5 nginx | 1.9.5 ≤ v < 1.16.1, 1.17.0 ≤ v ≤ 1.17.2 | 1.16.1 |
| oracle enterprise_communications_broker | 3.1.0, 3.2.0 | — |
| nodejs node.js | 8.0.0 ≤ v ≤ 8.8.1, 8.9.0 ≤ v < 8.16.1, 10.0.0 ≤ v ≤ 10.12.0, 10.13.0 ≤ v < 10.16.3, 12.0.0 ≤ v < 12.8.1 | 8.16.1, 10.16.3, 12.8.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.