2023-2501: Apache Tomcat, H2O HTTP Server, Netty, Nghttp2, Node.js, Red Hat Software Collections, Varnish HTTP Cache, nginx: Eine Schwachstelle ermöglicht einen Denial-of-Service-Angriff

Historie:

Version 1 (2023-10-13 11:13)

Neues Advisory

Version 2 (2023-10-16 17:43)

Für Red Hat Enterprise Linux 8 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 8.6 und 8.8 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 8.6 (x86_64) sowie Red Hat Enterprise Linux Server - TUS 8.6 und 8.8 (x86_64) stehen Sicherheitsupdates für das Modul 'nginx:1.20' zur Verfügung. Für Red Hat Enterprise Linux 8 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 8.8 (x86_64, aarch64) und Red Hat Enterprise Linux Server - TUS 8.8 (x86_64) stehen außerdem Sicherheitsupdates für das Modul 'nginx:1.22' zur Verfügung. Und für Red Hat Enterprise Linux 9 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 9.0 und 9.2 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 9.2 (x86_64), Red Hat CodeReady Linux Builder 9 (x86_64, aarch64), Red Hat CodeReady Linux Builder - Extended Update Support 9.0 und 9.2 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.0 und 9.2 (aarch64) stehen Sicherheitsupdates für 'nginx' bereit, um die Schwachstelle zu beheben.

Version 3 (2023-10-17 12:42)

Für Red Hat Software Collections (for RHEL Server / Workstation) 1 for RHEL 7 (x86_64) stehen Sicherheitsupdates für 'nginx' bereit, um die Schwachstelle zu beheben.

Version 4 (2023-10-17 16:45)

Für Oracle Linux 8 (aarch64, x86_64) stehen korrespondierende Sicherheitsupdates für 'nginx:1.20' und 'nginx:1.21' bereit, um die Schwachstelle zu beheben.

Version 5 (2023-10-17 20:10)

Für Red Hat Enterprise Linux - Extended Update Support 8.6 und 9.0 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS / TUS 8.2, 8.4 und 8.6 (x86_64), Red Hat CodeReady Linux Builder - Extended Update Support 8.6 und 9.0 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.0 (aarch64) stehen Sicherheitsupdates für 'nghttp2' bereit, um die Schwachstelle zu beheben. Weiterhin stehen für Red Hat Enterprise Linux 9 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 9.0 und 9.2 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 9.2 (x86_64), Red Hat CodeReady Linux Builder 9 (x86_64, aarch64), Red Hat CodeReady Linux Builder - Extended Update Support 9.0 und 9.2 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.0 und 9.2 (aarch64) Sicherheitsupdates für 'nodejs' bereit, um die Schwachstelle zu beheben.

Version 6 (2023-10-18 09:13)

Für Oracle Linux 9 (x86_64, aarch64) stehen zu RHSA-2023:5711 korrespondierende Sicherheitsupdates für 'nginx' zur Verfügung.

Version 7 (2023-10-18 13:14)

Für Red Hat Enterprise Linux - Extended Update Support 8.6 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 8.6 (x86_64) sowie Red Hat Enterprise Linux Server - TUS 8.6 (x86_64) stehen Sicherheitsupdates für das Modul 'nodejs:16' zur Verfügung.

Version 8 (2023-10-18 19:28)

Für Red Hat CodeReady Linux Builder 8 (x86_64, aarch64), Red Hat CodeReady Linux Builder - Extended Update Support 8.8 (x86_64, aarch64), Red Hat Enterprise Linux 8 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 8.8 (x86_64, aarch64) und Red Hat Enterprise Linux Server - TUS 8.8 (x86_64) stehen Sicherheitsupdates für 'nghttp2' zur Verfügung.

Version 9 (2023-10-18 19:36)

Für Red Hat Enterprise Linux 9 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 9.2 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 9.2 (x86_64), Red Hat CodeReady Linux Builder 9 (x86_64, aarch64), Red Hat CodeReady Linux Builder - Extended Update Support 9.2 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.2 (aarch64) stehen Sicherheitsupdates für 'nghttp2' bereit, um die Schwachstelle zu beheben. Und für Red Hat Software Collections (for RHEL Server / Workstation) 1 for RHEL 7 (x86_64) stehen Sicherheitsupdates für 'rh-nodejs14-nodejs' und 'httpd24-httpd' bereit, um die Schwachstelle zu beheben.

Version 10 (2023-10-19 16:45)

Für Red Hat Enterprise Linux 8 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 8.8 (x86_64, aarch64) und Red Hat Enterprise Linux Server - TUS 8.8 (x86_64) stehen Sicherheitsupdates für das Modul 'nodejs:16' zur Verfügung.

Version 11 (2023-10-19 19:26)

Für Red Hat Enterprise Linux 9 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 9.0 und 9.2 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 9.2 (x86_64), Red Hat CodeReady Linux Builder 9 (x86_64, aarch64), Red Hat CodeReady Linux Builder - Extended Update Support 9.0 und 9.2 (x86_64, aarch64) sowie Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.0 und 9.2 (aarch64) Sicherheitsupdates für 'varnish' bereit, um die Schwachstelle zu beheben. Und für Red Hat Enterprise Linux 9 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 9.2 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 9.2 (x86_64) sowie Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.2 (aarch64) stehen zusätzlich Sicherheitsupdates für 'tomcat' bereit, um die Schwachstelle zu beheben.

Version 12 (2023-10-20 10:11)

Für Fedora 37 und 38 stehen Sicherheitsupdates für den Folly-Stack auf Version 2023.10.16.00 im Status 'testing' bereit, um die Schwachstelle in 'proxygen' zu beheben.

Version 13 (2023-10-20 10:20)

Für Oracle Linux 8 (x86_64, aarch64) und 9 (x86_64, aarch64) stehen zu RHSA-2023:5837 und RHSA-2023:5838 korrespondierende Sicherheitsupdates für 'nghttp2' zur Verfügung.

Version 14 (2023-10-20 12:34)

Für Red Hat Enterprise Linux 8 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 8.8 (x86_64, aarch64) und Red Hat Enterprise Linux Server - TUS 8.8 (x86_64) stehen Sicherheitsupdates für 'tomcat' zur Verfügung.

Version 15 (2023-10-23 10:17)

Für Oracle Linux 9 (aarch64, x86_64) stehen zu RHSA-2023:5765 korrespondierende Sicherheitsupdates für nodejs' bereit, um die Schwachstelle zu beheben.

Version 16 (2023-10-24 09:55)

Für Oracle Linux 9 (aarch64, x86_64) stehen zu RHSA-2023:5929 korrespondierende Sicherheitsupdates für 'tomcat' bereit, um die Schwachstelle zu beheben.

Version 17 (2023-10-24 11:03)

Für Red Hat Enterprise Linux 8, 8.8 EUS (x86_64, aarch64), Red Hat Enterprise Linux Server 8.8 TUS (x86_64) stehen Sicherheitsupdates für 'varnish' und für Red Hat Enterprise Linux 8.6 EUS (x86_64, aarch64) und Red Hat Enterprise Linux Server 8.6 AUS / TUS (x86_64) stehen Sicherheitsupdates für 'varnish:6' zur Verfügung, um die Schwachstelle zu beheben.

Version 18 (2023-10-24 17:16)

Für Development Tools Module 15 SP4 und 15 SP5, openSUSE Leap 15.4 und 15.5, SUSE Enterprise Storage 7.1, SUSE Linux Enterprise Desktop 15 SP4 und 15 SP5, SUSE Linux Enterprise High Performance Computing 15 SP2, 15 SP2 LTSS, 15 SP3, 15 SP3 ESPOS / LTSS, 15 SP4 und 15 SP5, SUSE Linux Enterprise Micro 5.5, SUSE Linux Enterprise Real Time 15 SP4 und 15 SP5, SUSE Linux Enterprise Server 15 SP2, 15 SP2 LTSS, 15 SP3, 15 SP3 LTSS, 15 SP4 und 15 SP5, SUSE Linux Enterprise Server for SAP Applications 15 SP2, 15 SP3, 15 SP4 und 15 SP5, SUSE Manager Proxy 4.3, SUSE Manager Retail Branch Server 4.3, SUSE Manager Server 4.3 und SUSE Package Hub 15 SP5 stehen Sicherheitsupdates für 'netty' und 'netty-tcnative' auf Version 4.1.100 bereit, um die Schwachstelle zu beheben.

Version 19 (2023-10-25 12:56)

Für Oracle Linux 8 (x86_64, aarch64) und 9 (x86_64, aarch64) stehen Sicherheitsupdates für 'varnish' bereit, um die Schwachstelle zu beheben. Für Oracle Linux 8 (x86_64, aarch64) stehen außerdem Sicherheitsupdates zur Behebung der Schwachstelle in 'tomcat' zur Verfügung.

Version 20 (2023-10-26 11:01)

Für Red Hat Enterprise Linux 9 (x86_64, aarch64), Red Hat Enterprise Linux - Extended Update Support 9.2 (x86_64, aarch64), Red Hat Enterprise Linux Server - AUS 9.2 (x86_64) und Red Hat Enterprise Linux Server for ARM 64 - 4 years of updates 9.2 (aarch64) stehen Sicherheitsupdates für das Modul 'nginx:1.22' bereit, um die Schwachstelle zu beheben.

Version 21 (2023-10-26 15:01)

Für Basesystem Module 15 SP4 und 15 SP5, openSUSE Leap 15.4 und 15.5, openSUSE Leap Micro 5.3 und 5.4, SUSE Enterprise Storage 7.1, SUSE Linux Enterprise Software Development Kit 12 SP5, SUSE Linux Enterprise Desktop 15 SP4 und 15 SP5, SUSE Linux Enterprise High Performance Computing 12 SP5, 15 SP2, 15 SP2 LTSS, 15 SP3, 15 SP3 ESPOS / LTSS, 15 SP4 und 15 SP5, SUSE Linux Enterprise Micro 5.1, 5.2, 5.3, 5.4 und 5.5, SUSE Linux Enterprise Micro for Rancher 5.2, 5.3 und 5.4, SUSE Linux Enterprise Real Time 15 SP4 und 15 SP5, SUSE Linux Enterprise Server 12 SP5, 15 SP2, 15 SP2 LTSS, 15 SP3, 15 SP3 LTSS, 15 SP4 und 15 SP5, SUSE Linux Enterprise Server for SAP Applications 12 SP5, 15 SP2, 15 SP3, 15 SP4 und 15 SP5, SUSE Manager Proxy 4.2 und 4.3, SUSE Manager Retail Branch Server 4.2 und 4.3 sowie SUSE Manager Server 4.2 und 4.3 stehen Sicherheitsupdates für 'nghttp2' bereit, um die Schwachstelle zu beheben.

Version 22 (2023-10-27 16:43)

Für Oracle Linux 9 (aarch64, x86_64) stehen korrespondierende Sicherheitsupdates für 'nginx:1.22' bereit, um die Schwachstelle zu beheben.

Version 23 (2023-10-30 10:04)

Für Red Hat Enterprise Linux Server - AUS 8.2 und 8.4 (x86_64) und Red Hat Enterprise Linux Server - TUS 8.2 und 8.4 (x86_64) stehen stehen Sicherheitsupdates für 'varnish:6' zur Verfügung, um die Schwachstelle zu beheben.

Version 24 (2023-11-01 08:15)

Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'h2o' in Version 2.2.5+dfsg2-2+deb10u2 bereit, um die Schwachstelle zu beheben.

Version 25 (2023-11-01 10:27)

Für openSUSE Leap 15.4, SUSE CaaS Platform 4.0, SUSE Linux Enterprise High Performance Computing 15 SP1 und 15 SP1 LTSS, 15 SP2 und 15 SP2 LTSS, SUSE Linux Enterprise Server 15 SP1 und 15 SP1 LTSS, 15 SP2 und 15 SP2 LTSS sowie SUSE Linux Enterprise Server for SAP Applications 15 SP1 und 15 SP2 stehen Sicherheitsupdates für 'nodejs10' bereit, um die Schwachstelle zu beheben.

Version 26 (2023-11-08 14:08)

Für Red Hat Enterprise Linux for x86_64 / ARM 64 9 (x86_64, aarch64) stehen Sicherheitsupdates für 'nghttp2' bereit, um die Schwachstelle zu beheben.

Version 27 (2023-11-16 17:02)

Für Oracle Linux 9 (x86_64, aarch64) stehen korrespondierende Sicherheitsupdates für 'nghttp2' bereit, um die Schwachstelle zu beheben.

Version 28 (2023-11-17 08:51)

Für Red Hat Software Collections (for RHEL Server / Workstation) 1 for RHEL 7 (x86_64) stehen Sicherheitsupdates für ' rh-varnish6-varnish' bereit, um die Schwachstelle zu beheben.

Version 29 (2023-11-20 08:02)

Für Debian 10 Buster (LTS) steht ein Sicherheitsupdate für 'netty' in Version 1:4.1.33-1+deb10u4 bereit, um die Schwachstelle zu beheben.

Version 30 (2023-11-21 09:19)

Für SUSE CaaS Platform 4.0, SUSE Linux Enterprise High Performance Computing 15 SP1 und 15 SP1 LTSS, SUSE Linux Enterprise Server 15 SP1 und 15 SP1 LTSS sowie SUSE Linux Enterprise Server for SAP Applications 15 SP1 stehen Sicherheitsupdates für 'nghttp2' bereit, um die Schwachstelle zu beheben.

Version 31 (2023-11-23 08:37)

Canonical stellt für Ubuntu 23.10, Ubuntu 23.04, Ubuntu 22.04 LTS und Ubuntu 20.04 LTS Sicherheitsupdates für 'nghttp2' bereit, um die Schwachstelle zu beheben.

Version 32 (2025-04-07 17:28)

Canonical stellt für Ubuntu 22.04 LTS, Ubuntu 20.04 LTS und Ubuntu 18.04 ESM Sicherheitsupdates für 'tomcat9' bereit, um die Schwachstelle zu beheben.

Betroffene Software

Entwicklung
Middleware
Server
Systemsoftware

Betroffene Plattformen

Cloud
Linux
Oracle
Container

Beschreibung:

Ein Angreifer kann eine Schwachstelle aus der Ferne ausnutzen, um einen Denial-of-Service (DoS)-Angriff durchzuführen.

Für die Ausnutzung der Schwachstelle sind keine Privilegien erforderlich.

Die CYBERSECURITY & INFRASTRUCTURE SECURITY AGENCY (CISA) führt die Schwachstelle CVE-2023-44487 in ihrem 'Known Exploited Vulnerabilities Catalog', da diese zumindest in anderen Produkten aktiv ausgenutzt wird.

Für Fedora 37 und 38 sowie Fedora EPEL 7 stehen Sicherheitsupdates in Form der Pakete 'nghttp2-1.51.0-2.fc37', 'nghttp2-1.52.0-2.fc38' und 'nghttp2-1.33.0-1.2.el7' im Status 'testing' bereit, um die Schwachstelle zu beheben.

Schwachstellen:

CVE-2023-44487

Schwachstelle in IETF HTTP/2-Implementierung ermöglicht Denial-of-Service-Angriff

© DFN-CERT Services GmbH, all rights reserved!
Bei einer Weitergabe der Informationen außerhalb dieser Webseite ist auf den Ursprung in angemessener Weise hinzuweisen.
Im Übrigen gelten die Bestimmungen zum Copyright für diese Webseite.