Apache HTTP Server のバイト範囲の DoS

high Nessus プラグイン ID 55976

言語 :

New! Vulnerability Priority Rating (VPR)

Tenable では、すべての脆弱性に対して動的な VPR が計算されます。VPR は脆弱性の情報を、脅威インテリジェンスや機械学習アルゴリズムと組み合わせて、攻撃時に最も悪用される可能性の高い脆弱性を予測します。詳細は、「VPR とは何で、CVSS とはどう違うのか」を参照してください。

VPR スコア : 7.9

概要

リモートホストで実行されている Web サーバーは、サービス拒否脆弱性の影響を受けます。

説明

リモートホストで実行されているバージョンの Apache HTTP Server は、サービス拒否脆弱性の影響を受けます。Range または Request-Range リクエストヘッダーで範囲が重複した一連の HTTP リクエストを作成すると、メモリおよび CPU を消耗することがあります。認証されていないリモート攻撃者は、これを悪用して、システムを応答不能にすることがあります。

悪用コードは公的に入手可能であり、報告されているところによれば、野放しで観察されています。

ソリューション

Apache httpd 2.2.21 または以降にアップグレードするか、CVE-2011-3192 の Apache アドバイザリに記載されている回避策の 1 つを使用してください。バージョン 2.2.20 でこの問題が修正されましたが、これまでのバージョンになかった不具合も取り込まれています。

Apache httpd に基づく Web サーバーがホストで実行されている場合は、修正についてベンダーに問い合わせてください。

プラグインの詳細

深刻度: High

ID: 55976

ファイル名: apache_range_dos.nasl

バージョン: 1.36

タイプ: remote

ファミリー: Web Servers

公開日: 2011/8/25

更新日: 2018/11/15

依存関係: http_version.nasl, webmirror.nasl

構成: パラノイドモードが有効

リスク情報

リスクファクター: High

VPR スコア: 7.9

CVSS スコアのソース: CVE-2011-3192

CVSS v2.0

Base Score: 7.8

Temporal Score: 6.8

ベクトル: AV:N/AC:L/Au:N/C:N/I:N/A:C

現状ベクトル: E:H/RL:OF/RC:C

CVSS v3.0

Base Score: 7.7

Temporal Score: 7.4

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H

現状ベクトル: E:H/RL:O/RC:C

脆弱性の情報

CPE: cpe:/a:apache:http_server

必要な KB アイテム: Settings/ParanoidReport

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2011/8/25

脆弱性公開日: 2011/8/19

エクスプロイト可能

Core Impact

参照情報

CVE: CVE-2011-3192

BID: 49303

CERT: 405811

EDB-ID: 17696, 18221