9VSA20-00259-01 CSIRT comparte mitigaciones para ApacheTomcat y ApacheTrafficServer
CSIRT comparte la información obtenida de Apache referente a dos vulnerabilidades que afectan a Apache Tomcat y Apache Traffic Server
Resumen
El Equipo de Respuesta ante Incidentes de Seguridad Informática, CSIRT, comparte la información obtenida de Apache referente a dos vulnerabilidades que afectan a Apache Tomcat y Apache Traffic Server. El presente informe incluye la respectiva medida de mitigación.
Vulnerabilidades
CVE-2020-11996
CVE-2020-9494
CVE-2020-1836
Utilizando peticiones HTTP/2 especialmente diseñadas, es posible elevar el uso de la CPU por unos cuantos segundos. Si se envían suficientes peticiones al sistema afectado, es posible causar una denegación de servicios.
Productos Afectados
Apache Tomcat entre las versiones 10.0.0-M1 y 10.0.0-M5.
Apache Tomcat entre las versiones 9.0.0.M1 y 9.0.35.
Apache Tomcat entre las versiones 8.5.0 y 8.5.55.
Mitigación
Actualizar a la versión 10.0.0-M6, 9.0.36 o 8.5.56 (o superiores).
Enlaces
https://lists.apache.org/thread.html/r5541ef6b6b68b49f76fc4c45695940116da2bcbe0312ef204a00a2e0%40<announce.tomcat.apache.org>
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-11996
CVE-2020-1836
Apache Traffic Server es vulnerable a ciertos tipos de marcos de cabeceras HTTP/2, que podrían hacer que el servidor asigne una gran cantidad de memoria y haga girar el hilo.
Productos Afectados
Apache Traffic Server entre las versiones 6.0.0 y 6.2.3.
Apache Traffic Server entre las versiones 7.0.0 y 7.1.10.
Apache Traffic Server entre las versiones 8.0.0 y 8.0.7.
Mitigación
Para usuarios con la versión 6.x, actualizar a la 7.1.11, 8.0.8 o superior.
Para usuarios con la versión 7.x, actualizar a la 7.1.11 o superior.
Para usuarios con la versión 8.x, actualizar a la 8.0.8 o superior.
Enlaces
https://lists.apache.org/thread.html/rf7f86917f42fdaf904d99560cba0c016e03baea6244c47efeb60ecbe%40<dev.trafficserver.apache.org>
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2020-9494
Informe
El informe oficial publicado por el CSIRT del Gobierno de Chile está disponible en el siguiente enlace: 9VSA20-00259-01