Quel est le problème
Un problème existe dans nginx où le traitement des URI gère de manière incorrecte les caractères d'espace non échappés. Des attaquants distants peuvent exploiter cette faille pour contourner les restrictions d'accès prévues.
Qui est concerné
Cela affecte les versions de nginx 0.8.41 à 1.4.3, et les versions 1.5.x antérieures à 1.5.7.
Que faire
Mettez à niveau les installations nginx affectées vers la version 1.4.4 ou 1.5.7.
Description d’origine
nginx 0.8.41 through 1.4.3 and 1.5.x before 1.5.7 allows remote attackers to bypass intended restrictions via an unescaped space character in a URI.
Logiciels concernés
- nginx ≥ 1.5.0 ≤ 1.5.6≥ 0.8.41 < 1.4.4 Corrigé dans: 1.4.4 correspondance exacte
Détails
- Publication
- 2013-11-24
- Dernière modification
- 2024-08-07
- Vecteur CVSS
AV:N/AC:L/Au:N/C:P/I:P/A:P- EPSS (probabilité d’exploitation à 30 jours)
- 68.46% (percentile 99)
Références
- cve.org/CVE-2013-4547
- nvd.nist.gov/vuln/detail/CVE-2013-4547
- secunia.com/advisories/55757
- lists.opensuse.org/opensuse-security-announce/2013-12/msg00007.html
- lists.opensuse.org/opensuse-updates/2013-11/msg00084.html
- secunia.com/advisories/55825
- secunia.com/advisories/55822
- lists.opensuse.org/opensuse-updates/2013-11/msg00119.html
- lists.opensuse.org/opensuse-updates/2013-11/msg00118.html
- www.debian.org/security/2012/dsa-2802
- mailman.nginx.org/pipermail/nginx-announce/2013/000125.html
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.