Podatności NGINX

Pakiet nginx przed wersją 1.6.2-5+deb8u3 na Debianie jessie oraz wcześniejsze wersje na Ubuntu i Gentoo umożliwiają lokalnym użytkownikom z dostępem do konta użytkownika serwera WWW uzyskanie uprawnień roota poprzez atak symlink na dziennik błędów.

W nginx przed wersją 1.10.1 oraz 1.11.x przed wersją 1.11.1 występuje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez złośliwe żądanie, co prowadzi do dereferencji wskaźnika NULL i awarii procesu roboczego.

Resolver w nginx przed wersją 1.8.1 oraz 1.9.x przed wersją 1.9.10 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez nieprawidłowe odwołanie do wskaźnika, co prowadzi do awarii procesu roboczego.

W implementacji SPDY w nginx 1.3.15 przed wersją 1.4.7 oraz 1.5.x przed wersją 1.5.12 występuje przepełnienie bufora oparte na stercie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie.

Przepełnienie bufora na stercie w modułach ngx_http_proxy_v2_module i ngx_http_grpc_module NGINX. Specyficzne warunki konfiguracyjne i duże nagłówki mogą spowodować awarię procesu roboczego NGINX, a w niektórych przypadkach umożliwić wykonanie kodu.

Podatność w module ngx_http_rewrite_module NGINX Plus i NGINX Open Source występuje, gdy dyrektywa rewrite używa wzorca regex z nakładającymi się przechwyceniami PCRE, a ciąg zastępczy odwołuje się do wielu takich przechwyceń. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_rewrite_module. Problem występuje, gdy dyrektywa rewrite jest następowana przez dyrektywy rewrite, if lub set oraz nienazwane przechwytywanie PCRE (np. $1, $2) z ciągiem zastępczym zawierającym znak zapytania (?). Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

Podatność w module ngx_http_dav_module NGINX pozwala atakującemu wywołać przepełnienie bufora procesu roboczego NGINX. Problem występuje, gdy konfiguracja używa metod MOVE lub COPY z dyrektywą alias i lokalizacją prefiksu.

Podatność typu use-after-free w resolverze nginx w wersjach od 0.6.18 do 1.8.0 oraz 1.9.x przed 1.9.10 pozwala zdalnym atakującym na spowodowanie awarii procesu roboczego (denial of service) lub potencjalnie innego nieokreślonego wpływu poprzez spreparowaną odpowiedź DNS związaną z przetwarzaniem odpowiedzi CNAME.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_v3_module. W przypadku korzystania z HTTP/3 z OpenSSL w wersjach <= 3.5.0 w pewnych konfiguracjach może wystąpić ograniczone przepełnienie bufora sterty podczas przetwarzania uzgadniania TLS. Może to wystąpić w sposób niedeterministyczny, poza kontrolą atakującego. Może to spowodować przepełnienie bufora sterty w procesie roboczym NGINX prowadzące do restartu i/lub ograniczonego uszkodzenia danych.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_slice_module. Gdy skonfigurowano dyrektywę slice z nienazwanymi przechwyceniami wyrażeń regularnych lub podczas aktualizacji pamięci podręcznej w tle, nieuwierzytelniony atakujący może wysłać żądania powodujące dostęp do niezainicjalizowanej pamięci w procesie roboczym NGINX, co prowadzi do ograniczonego ujawnienia zawartości pamięci lub restartu procesu.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_ssi_module. Problem występuje przy jednoczesnym użyciu dyrektyw SSI, proxy_pass oraz proxy_buffering off. Nieuwierzytelniony atakujący z możliwością ataku typu man-in-the-middle (MITM) może kontrolować odpowiedzi z serwera nadrzędnego, co prowadzi do użycia po zwolnieniu (use-after-free) w procesie roboczym NGINX.

Podatność w NGINX Plus i NGINX Open Source występuje, gdy dyrektywa map używa wyrażeń regularnych, a wyrażenie łańcuchowe odwołuje się do zmiennych przechwytujących z wyrażenia regularnego przed odwołaniem do zmiennej wyjściowej mapy. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu lub potencjalnie do wykonania kodu.

W NGINX Plus i NGINX Open Source z włączonym modułem HTTP/3 QUIC istnieje podatność umożliwiająca atakującemu sfałszowanie źródłowego adresu IP, co pozwala na ominięcie autoryzacji lub ograniczeń prędkości.

Podatność w module ngx_http_mp4_module serwera NGINX umożliwia atakującemu wywołanie odczytu lub zapisu poza zakresem pamięci procesu roboczego NGINX poprzez specjalnie spreparowany plik MP4. Może to prowadzić do zakończenia działania procesu lub potencjalnie do wykonania kodu.

Podatność w module ngx_mail_auth_http_module NGINX umożliwia nieokreślone żądania powodujące zakończenie procesów roboczych. Problem występuje, gdy włączone jest uwierzytelnianie CRAM-MD5 lub APOP, a serwer uwierzytelniania zezwala na ponowienie próby poprzez nagłówek Auth-Wait.