Was ist das Problem
nginx enthält eine Schwachstelle in seiner HTTP/2-Implementierung. Ein Angreifer kann diese Schwachstelle ausnutzen, um übermäßigen Speicherverbrauch zu verursachen.
Wer ist betroffen
Dies betrifft nginx-Versionen vor 1.15.6 und 1.14.1. Es gilt, wenn nginx mit dem ngx_http_v2_module kompiliert ist und die Option 'http2' der Anweisung 'listen' verwendet.
Was zu tun ist
Aktualisieren Sie nginx auf Version 1.14.1, 1.15.6 oder neuer.
Originalbeschreibung
nginx before versions 1.15.6 and 1.14.1 has a vulnerability in the implementation of HTTP/2 that can allow for excessive memory consumption. This issue affects nginx compiled with the ngx_http_v2_module (not compiled by default) if the 'http2' option of the 'listen' directive is used in a configuration file.
Betroffene Software
- nginx > 1.15.0 < 1.15.6> 1.9.5 < 1.14.1 Behoben in: 1.15.6, 1.14.1 exakte Übereinstimmung
Details
- Veröffentlicht
- 2018-11-07
- Zuletzt geändert
- 2024-08-05
- CVSS-Vektor
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L- CWE
- CWE-400
- EPSS (Ausnutzungswahrscheinlichkeit in 30 Tagen)
- 47.99% (Perzentil 99)
Referenzen
- cve.org/CVE-2018-16843
- nvd.nist.gov/vuln/detail/CVE-2018-16843
- www.debian.org/security/2018/dsa-4335
- access.redhat.com/errata/RHSA-2018:3680
- access.redhat.com/errata/RHSA-2018:3681
- www.securityfocus.com/bid/105868
- mailman.nginx.org/pipermail/nginx-announce/2018/000220.html
- www.securitytracker.com/id/1042038
- bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-16843
- access.redhat.com/errata/RHSA-2018:3653
- usn.ubuntu.com/3812-1/
- lists.opensuse.org/opensuse-security-announce/2019-09/msg00035.html
- support.apple.com/kb/HT212818
- seclists.org/fulldisclosure/2021/Sep/36
Verfolgen Sie diese Versionen auf Ihren eigenen Servern
InfraGuard erfasst die installierten Softwareversionen auf jedem Server und markiert diejenigen mit bekannten Schwachstellen. Self-Hosted – nichts verlässt Ihr Netzwerk.
Dieses Produkt verwendet Daten der NVD-API, ist jedoch nicht von der NVD empfohlen oder zertifiziert. CVE® ist eine eingetragene Marke von The MITRE Corporation; CVE-Datensätze werden gemäß den Nutzungsbedingungen des CVE Program verwendet.