Все бюллетени/p10_e2k/ALT-PU-2025-10441-1
ALT-PU-2025-10441-1

Обновление пакета apache2 в ветке p10_e2k

Версия2.4.65-alt1
Задание#0
Опубликовано2025-08-14
Макс. серьёзностьCRITICAL
Серьёзность:

Закрытые проблемы (16)

BDU:2025-08695
HIGH7.5

Уязвимость функции mod_proxy_http2 веб-сервера Apache HTTP Server, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2025-07-21Изменено: 2026-03-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2025-08696
HIGH7.5

Уязвимость функции mod_ssl веб-сервера Apache HTTP Server, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2025-07-21Изменено: 2026-03-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:C
Ссылки
BDU:2025-08955
MEDIUM5.3

Уязвимость веб-сервера Apache HTTP Server, связанная с утечкой памяти, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2025-07-24Изменено: 2026-04-20
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
CVSS 2.0СРЕДНЯЯ 5.0
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:N/A:P
Ссылки
BDU:2025-08957
MEDIUM5.4

Уязвимость модуля mod_proxy веб-сервера Apache HTTP Server, позволяющая нарушителю осуществить SSRF-атаку

Опубликовано: 2025-07-24Изменено: 2026-03-04
CVSS 3.xСРЕДНЯЯ 5.4
CVSS:3.x/AV:N/AC:H/PR:N/UI:N/S:C/C:L/I:L/A:N
CVSS 2.0СРЕДНЯЯ 4.0
CVSS:2.0/AV:N/AC:H/Au:N/C:P/I:P/A:N
Ссылки
BDU:2025-08958
HIGH7.5

Уязвимость функции mod_ssl веб-сервера Apache HTTP Server, позволяющая нарушителю оказать воздействие на целостность защищаемой информации

Опубликовано: 2025-07-24Изменено: 2026-03-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
CVSS 2.0ВЫСОКАЯ 7.8
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:C/A:N
Ссылки
BDU:2025-08975
MEDIUM6.8

Уязвимость ядра веб-сервера Apache HTTP Server, позволяющая нарушителю оказать воздействие на целостность защищаемой информации

Опубликовано: 2025-07-24Изменено: 2026-03-04
CVSS 3.xСРЕДНЯЯ 6.8
CVSS:3.x/AV:N/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:N
CVSS 2.0СРЕДНЯЯ 5.4
CVSS:2.0/AV:N/AC:H/Au:N/C:N/I:C/A:N
Ссылки
BDU:2025-08976
CRITICAL9.1

Уязвимость функции mod_ssl веб-сервера Apache HTTP Server, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2025-07-24Изменено: 2026-03-04
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CVSS 2.0КРИТИЧЕСКАЯ 9.4
CVSS:2.0/AV:N/AC:L/Au:N/C:C/I:C/A:N
Ссылки
BDU:2025-09493
MEDIUM6.3

Уязвимость веб-сервера Apache HTTP Server, связанная с неправильной проверкой возвращаемого значения функции, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Опубликовано: 2025-08-08Изменено: 2026-03-04
CVSS 3.xСРЕДНЯЯ 6.3
CVSS:3.x/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
CVSS 2.0СРЕДНЯЯ 6.5
CVSS:2.0/AV:N/AC:L/Au:S/C:P/I:P/A:P
Ссылки
CVE-2024-42516
HIGH7.5

HTTP response splitting in the core of Apache HTTP Server allows an attacker who can manipulate the Content-Type response headers of applications hosted or proxied by the server can split the HTTP response. This vulnerability was described as CVE-2023-38709 but the patch included in Apache HTTP Server 2.4.59 did not address the issue. Users are recommended to upgrade to version 2.4.64, which fixes this issue.

Опубликовано: 2025-07-10Изменено: 2025-11-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Ссылки
CVE-2024-43204
HIGH7.5

SSRF in Apache HTTP Server with mod_proxy loaded allows an attacker to send outbound proxy requests to a URL controlled by the attacker.  Requires an unlikely configuration where mod_headers is configured to modify the Content-Type request or response header with a value provided in the HTTP request. Users are recommended to upgrade to version 2.4.64 which fixes this issue.

Опубликовано: 2025-07-10Изменено: 2025-11-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Ссылки
CVE-2024-47252
HIGH7.5

Insufficient escaping of user-supplied data in mod_ssl in Apache HTTP Server 2.4.63 and earlier allows an untrusted SSL/TLS client to insert escape characters into log files in some configurations. In a logging configuration where CustomLog is used with "%{varname}x" or "%{varname}c" to log variables provided by mod_ssl such as SSL_TLS_SNI, no escaping is performed by either mod_log_config or mod_ssl and unsanitized data provided by the client may appear in log files.

Опубликовано: 2025-07-10Изменено: 2025-11-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Ссылки
CVE-2025-23048
CRITICAL9.1

In some mod_ssl configurations on Apache HTTP Server 2.4.35 through to 2.4.63, an access control bypass by trusted clients is possible using TLS 1.3 session resumption. Configurations are affected when mod_ssl is configured for multiple virtual hosts, with each restricted to a different set of trusted client certificates (for example with a different SSLCACertificateFile/Path setting). In such a case, a client trusted to access one virtual host may be able to access another virtual host, if SSLStrictSNIVHostCheck is not enabled in either virtual host.

Опубликовано: 2025-07-10Изменено: 2025-11-04
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2025-49630
HIGH7.5

In certain proxy configurations, a denial of service attack against Apache HTTP Server versions 2.4.26 through to 2.4.63 can be triggered by untrusted clients causing an assertion in mod_proxy_http2. Configurations affected are a reverse proxy is configured for an HTTP/2 backend, with ProxyPreserveHost set to "on".

Опубликовано: 2025-07-10Изменено: 2025-11-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Ссылки
CVE-2025-49812
HIGH7.4

In some mod_ssl configurations on Apache HTTP Server versions through to 2.4.63, an HTTP desynchronisation attack allows a man-in-the-middle attacker to hijack an HTTP session via a TLS upgrade. Only configurations using "SSLEngine optional" to enable TLS upgrades are affected. Users are recommended to upgrade to version 2.4.64, which removes support for TLS upgrade.

Опубликовано: 2025-07-10Изменено: 2025-11-04
CVSS 3.xВЫСОКАЯ 7.4
CVSS:3.x/CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Ссылки
CVE-2025-53020
HIGH7.5

Late Release of Memory after Effective Lifetime vulnerability in Apache HTTP Server. This issue affects Apache HTTP Server: from 2.4.17 up to 2.4.63. Users are recommended to upgrade to version 2.4.64, which fixes the issue.

Опубликовано: 2025-07-10Изменено: 2025-11-04
CVSS 3.xВЫСОКАЯ 7.5
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Ссылки
CVE-2025-54090
MEDIUM6.3

A bug in Apache HTTP Server 2.4.64 results in all "RewriteCond expr ..." tests evaluating as "true". Users are recommended to upgrade to version 2.4.65, which fixes the issue.

Опубликовано: 2025-07-23Изменено: 2025-11-04
CVSS 3.xСРЕДНЯЯ 6.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L
Ссылки