2019-1751: Apache HTTP Server: Mehrere Schwachstellen ermöglichen u. a. Denial-of-Service-Angriffe

Historie:

Version 1 (2019-08-21 17:35): Neues Advisory
Version 2 (2019-08-27 13:49): Für die Debian Distributionen Stretch (oldstable) und Buster (stable) stehen Sicherheitsupdates für 'apache2' auf die Versionen 2.4.25-3+deb9u8 bzw. 2.4.38-3+deb10u1 zur Behebung der Schwachstellen zur Verfügung.
Version 3 (2019-08-28 19:20): Für die SUSE Linux Enterprise Module für Server Applications und Open Buildservice Development Tools jeweils in den Versionen 15 und 15 SP1 stehen Sicherheitsupdates für 'apache2' bereit, um diese Schwachstellen zu beheben.
Version 4 (2019-09-03 13:37): Für openSUSE Leap 15.0 und 15.1 stehen Sicherheitsupdates für 'apache2' zur Behebung der Schwachstellen zur Verfügung.
Version 5 (2019-09-09 12:39): Für SUSE Linux Enterprise Software Development Kit 12 SP4 und SUSE Linux Enterprise Server 12 SP4 stehen Sicherheitsupdates für 'apache2' zur Behebung der Schwachstellen CVE-2019-9517, CVE-2019-10081, CVE-2019-10082, CVE-2019-10092 und CVE-2019-10098 bereit.

Betroffene Software

Server

Betroffene Plattformen

Apple
Linux
Microsoft

Beschreibung:

Mehrere Schwachstellen in Apache HTTP Server ermöglichen einem entfernten, nicht authentisierten Angreifer die Durchführung eines Cross-Site-Scripting-Angriff, das Darstellen falscher Informationen, die Durchführung verschiedener Denial-of-Service (DoS)-Angriffe und das Ausspähen von Informationen.

Die Apache Software Foundation informiert über die Schwachstellen und stellt Apache HTTP-Server 2.4.41 als Sicherheitsupdate bereit.

Für Fedora 29 und 30 stehen Sicherheitsupdates im Status 'testing' zur Behebung der Schwachstellen bereit.

Schwachstellen:

CVE-2019-10081

Schwachstelle in HTTP/2-Server ermöglicht Denial-of-Service-Angriff

CVE-2019-10082

Schwachstelle in HTTP/2-Server ermöglicht Ausspähen von Informationen

CVE-2019-10092

Schwachstelle in Apache HTTP Server ermöglicht Cross-Site-Scripting-Angriff

CVE-2019-10097

Schwachstelle in Apache HTTP Server ermöglicht u. a. Denial-of-Service-Angriff

CVE-2019-10098

Schwachstelle in Apache HTTP Server ermöglicht Darstellen falscher Informationen

CVE-2019-9517