Quel est le problème
Une vulnérabilité de sous-dépassement de tampon existe dans le code d'analyse des requêtes HTTP de nginx. Des attaquants distants peuvent exploiter cette faille à l'aide de requêtes HTTP conçues pour exécuter du code arbitraire sur le serveur cible.
Qui est concerné
Cela affecte les versions de nginx 0.1.0 à 0.5.37, les versions 0.6.x antérieures à 0.6.39, les versions 0.7.x antérieures à 0.7.62 et les versions 0.8.x antérieures à 0.8.15.
Que faire
Mettez à niveau vers les versions corrigées de nginx 0.5.38, 0.6.39, 0.7.62 ou 0.8.15 selon la branche de version installée.
Description d’origine
Buffer underflow in src/http/ngx_http_parse.c in nginx 0.1.0 through 0.5.37, 0.6.x before 0.6.39, 0.7.x before 0.7.62, and 0.8.x before 0.8.15 allows remote attackers to execute arbitrary code via crafted HTTP requests.
Logiciels concernés
- nginx ≥ 0.1.0 < 0.5.38≥ 0.7.0 < 0.7.62≥ 0.6.0 < 0.6.39≥ 0.8.0 < 0.8.15 Corrigé dans: 0.5.38, 0.7.62, 0.6.39, 0.8.15 correspondance exacte
Détails
- Publication
- 2009-09-16
- Dernière modification
- 2024-08-07
- Vecteur CVSS
AV:N/AC:L/Au:N/C:P/I:P/A:P- EPSS (probabilité d’exploitation à 30 jours)
- 75.08% (percentile 100)
Références
- cve.org/CVE-2009-2629
- nvd.nist.gov/vuln/detail/CVE-2009-2629
- www.kb.cert.org/vuls/id/180065
- www.redhat.com/archives/fedora-package-announce/2009-December/msg00428.html
- nginx.net/CHANGES-0.7
- nginx.net/CHANGES
- sysoev.ru/nginx/patch.180065.txt
- www.debian.org/security/2009/dsa-1884
- www.redhat.com/archives/fedora-package-announce/2009-December/msg00442.html
- www.redhat.com/archives/fedora-package-announce/2009-December/msg00449.html
- nginx.net/CHANGES-0.5
- nginx.net/CHANGES-0.6
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.