CVE-2016-4450

Pakiet nginx przed wersją 1.6.2-5+deb8u3 na Debianie jessie oraz wcześniejsze wersje na Ubuntu i Gentoo umożliwiają lokalnym użytkownikom z dostępem do konta użytkownika serwera WWW uzyskanie uprawnień roota poprzez atak symlink na dziennik błędów.

Resolver w nginx przed wersją 1.8.1 oraz 1.9.x przed wersją 1.9.10 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez nieprawidłowe odwołanie do wskaźnika, co prowadzi do awarii procesu roboczego.

W implementacji SPDY w nginx 1.3.15 przed wersją 1.4.7 oraz 1.5.x przed wersją 1.5.12 występuje przepełnienie bufora oparte na stercie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie.

Podatność w module ngx_http_rewrite_module NGINX Plus i NGINX Open Source występuje, gdy dyrektywa rewrite używa wzorca regex z nakładającymi się przechwyceniami PCRE, a ciąg zastępczy odwołuje się do wielu takich przechwyceń. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_rewrite_module. Problem występuje, gdy dyrektywa rewrite jest następowana przez dyrektywy rewrite, if lub set oraz nienazwane przechwytywanie PCRE (np. $1, $2) z ciągiem zastępczym zawierającym znak zapytania (?). Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

Podatność w module ngx_http_dav_module NGINX pozwala atakującemu wywołać przepełnienie bufora procesu roboczego NGINX. Problem występuje, gdy konfiguracja używa metod MOVE lub COPY z dyrektywą alias i lokalizacją prefiksu.

Podatność typu use-after-free w resolverze nginx w wersjach od 0.6.18 do 1.8.0 oraz 1.9.x przed 1.9.10 pozwala zdalnym atakującym na spowodowanie awarii procesu roboczego (denial of service) lub potencjalnie innego nieokreślonego wpływu poprzez spreparowaną odpowiedź DNS związaną z przetwarzaniem odpowiedzi CNAME.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_slice_module. Gdy skonfigurowano dyrektywę slice z nienazwanymi przechwyceniami wyrażeń regularnych lub podczas aktualizacji pamięci podręcznej w tle, nieuwierzytelniony atakujący może wysłać żądania powodujące dostęp do niezainicjalizowanej pamięci w procesie roboczym NGINX, co prowadzi do ograniczonego ujawnienia zawartości pamięci lub restartu procesu.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_ssi_module. Problem występuje przy jednoczesnym użyciu dyrektyw SSI, proxy_pass oraz proxy_buffering off. Nieuwierzytelniony atakujący z możliwością ataku typu man-in-the-middle (MITM) może kontrolować odpowiedzi z serwera nadrzędnego, co prowadzi do użycia po zwolnieniu (use-after-free) w procesie roboczym NGINX.

Podatność w NGINX Plus i NGINX Open Source występuje, gdy dyrektywa map używa wyrażeń regularnych, a wyrażenie łańcuchowe odwołuje się do zmiennych przechwytujących z wyrażenia regularnego przed odwołaniem do zmiennej wyjściowej mapy. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu lub potencjalnie do wykonania kodu.