Was ist das Problem
Im HTTP-Anfrage-Parsing-Code von nginx existiert eine Puffer-Underflow-Schwachstelle. Remote-Angreifer können diese Schwachstelle mit präparierten HTTP-Anfragen ausnutzen, um beliebigen Code auf dem Zielserver auszuführen.
Wer ist betroffen
Dies betrifft die nginx-Versionen 0.1.0 bis 0.5.37, 0.6.x vor 0.6.39, 0.7.x vor 0.7.62 und 0.8.x vor 0.8.15.
Was zu tun ist
Führen Sie je nach installierter Release-Branch ein Upgrade auf die behobenen nginx-Versionen 0.5.38, 0.6.39, 0.7.62 oder 0.8.15 durch.
Originalbeschreibung
Buffer underflow in src/http/ngx_http_parse.c in nginx 0.1.0 through 0.5.37, 0.6.x before 0.6.39, 0.7.x before 0.7.62, and 0.8.x before 0.8.15 allows remote attackers to execute arbitrary code via crafted HTTP requests.
Betroffene Software
- nginx ≥ 0.1.0 < 0.5.38≥ 0.7.0 < 0.7.62≥ 0.6.0 < 0.6.39≥ 0.8.0 < 0.8.15 Behoben in: 0.5.38, 0.7.62, 0.6.39, 0.8.15 exakte Übereinstimmung
Details
- Veröffentlicht
- 2009-09-16
- Zuletzt geändert
- 2024-08-07
- CVSS-Vektor
AV:N/AC:L/Au:N/C:P/I:P/A:P- EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)
- 75.08% (Perzentil 100)
Referenzen
- cve.org/CVE-2009-2629
- nvd.nist.gov/vuln/detail/CVE-2009-2629
- www.kb.cert.org/vuls/id/180065
- www.redhat.com/archives/fedora-package-announce/2009-December/msg00428.html
- nginx.net/CHANGES-0.7
- nginx.net/CHANGES
- sysoev.ru/nginx/patch.180065.txt
- www.debian.org/security/2009/dsa-1884
- www.redhat.com/archives/fedora-package-announce/2009-December/msg00442.html
- www.redhat.com/archives/fedora-package-announce/2009-December/msg00449.html
- nginx.net/CHANGES-0.5
- nginx.net/CHANGES-0.6
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.
Dieses Produkt verwendet Daten der NVD-API, ist jedoch nicht von der NVD empfohlen oder zertifiziert. CVE® ist eine eingetragene Marke von The MITRE Corporation; CVE-Datensätze werden gemäß den Nutzungsbedingungen des CVE Program verwendet.