CVE-2019-0211highbajo ataqueCWE-416

CVE-2019-0211: fallo de gravedad alta en Apache HTTP Server

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache HTTP Server+ Monitorear apache2

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

83Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 7.8epss 65%
de la publicación al armael mismo día
Publicada en NVD8 abr
1ª PoC8 abr
CISA KEV+940d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
Afectado
1 producto (3 componentes)
Red Hat JBoss Enterprise Web Server 2
no_fix_planned: Out of support scope
Corregido
11 productos (346 componentes)
Red Hat Enterprise Linux AppStream (v. 8) · Red Hat Software Collections for Red Hat Enterprise Linux Server (v. 7) · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.4) · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.5) · Red Hat Software Collections for Red Hat Enterprise Linux Server EUS (v. 7.6) · y otros 6
corrección ↗
No afectado
5 productos (19 componentes) — porque el código vulnerable no está presente en el producto
Red Hat Enterprise Linux 7 · Red Hat Enterprise Linux 6 · Red Hat Virtualization 4 · Red Hat Enterprise Linux 5 · Red Hat JBoss Web Server 3
Acción exigida por CISAplazo federal: 2022-05-03

Apply updates per vendor instructions.

En resumen

Una vulnerabilidad en Apache HTTP Server permite que scripts ejecutados con permisos limitados ganen control total manipulando estructuras internas de memoria, comprometiendo potencialmente todo el servidor. Afecta solo sistemas Unix.

Detalle técnico

CVE-2019-0211 es una vulnerabilidad de escalación de privilegios en Apache HTTP Server 2.4.17–2.4.38 con MPM event, worker o prefork. Procesos hijo sin privilegios o scripts en proceso pueden manipular la estructura del scoreboard para lograr ejecución de código arbitrario con privilegios del proceso padre (típicamente root). Sistemas Unix son afectados; Windows y plataformas no-Unix no lo son.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

In Apache HTTP Server 2.4 releases 2.4.17 to 2.4.38, with MPM event, worker or prefork, code executing in less-privileged child processes or threads (including scripts executed by an in-process scripting interpreter) could execute arbitrary code with the privileges of the parent process (usually root) by manipulating the scoreboard. Non-Unix systems are not affected.
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache · Apache HTTP Server
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache HTTP Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2020-1927—CVE-2020-1927EPSS 56.7%CVE-2020-1934—CVE-2020-1934EPSS 52.0%CVE-2019-0217—CVE-2019-0217EPSS 16.4%CVE-2019-0215—CVE-2019-0215EPSS 10.4%