Quel est le problème
Une vulnérabilité de déréférencement de pointeur non valide existe dans le résolveur nginx. Un attaquant distant peut l'exploiter en envoyant une réponse DNS UDP conçue pour faire planter les processus de travail, entraînant un refus de service.
Qui est concerné
Ce problème affecte les versions de nginx de 0.6.18 antérieures à 1.8.1, ainsi que les versions 1.9.x de 1.9.0 antérieures à 1.9.10.
Que faire
Mettez à niveau nginx vers la version 1.8.1, 1.9.10 ou ultérieure.
Description d’origine
The resolver in nginx before 1.8.1 and 1.9.x before 1.9.10 allows remote attackers to cause a denial of service (invalid pointer dereference and worker process crash) via a crafted UDP DNS response.
Logiciels concernés
- nginx ≥ 0.6.18 < 1.8.1≥ 1.9.0 < 1.9.10 Corrigé dans: 1.8.1, 1.9.10 correspondance exacte
Détails
- Publication
- 2016-02-16
- Dernière modification
- 2024-08-06
- Vecteur CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H- EPSS (probabilité d’exploitation à 30 jours)
- 82.38% (percentile 100)
Références
- cve.org/CVE-2016-0742
- nvd.nist.gov/vuln/detail/CVE-2016-0742
- lists.opensuse.org/opensuse-updates/2016-02/msg00042.html
- bto.bluecoat.com/security-advisory/sa115
- security.gentoo.org/glsa/201606-06
- www.securitytracker.com/id/1034869
- mailman.nginx.org/pipermail/nginx/2016-January/049700.html
- access.redhat.com/errata/RHSA-2016:1425
- www.debian.org/security/2016/dsa-3473
- bugzilla.redhat.com/show_bug.cgi?id=1302587
- www.ubuntu.com/usn/USN-2892-1
- support.apple.com/kb/HT212818
- seclists.org/fulldisclosure/2021/Sep/36
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.