Quel est le problème
nginx contient une vulnérabilité dans son implémentation d'HTTP/2. Un attaquant peut exploiter ce problème pour provoquer une consommation excessive de mémoire.
Qui est concerné
Cela affecte les versions de nginx antérieures à 1.15.6 et 1.14.1. Cela s'applique si nginx est compilé avec le ngx_http_v2_module et utilise l'option 'http2' de la directive 'listen'.
Que faire
Mettez à niveau nginx vers la version 1.14.1, 1.15.6 ou ultérieure.
Description d’origine
nginx before versions 1.15.6 and 1.14.1 has a vulnerability in the implementation of HTTP/2 that can allow for excessive memory consumption. This issue affects nginx compiled with the ngx_http_v2_module (not compiled by default) if the 'http2' option of the 'listen' directive is used in a configuration file.
Logiciels concernés
- nginx > 1.15.0 < 1.15.6> 1.9.5 < 1.14.1 Corrigé dans: 1.15.6, 1.14.1 correspondance exacte
Détails
- Publication
- 2018-11-07
- Dernière modification
- 2024-08-05
- Vecteur CVSS
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L- CWE
- CWE-400
- EPSS (probabilité d’exploitation à 30 jours)
- 47.99% (percentile 99)
Références
- cve.org/CVE-2018-16843
- nvd.nist.gov/vuln/detail/CVE-2018-16843
- www.debian.org/security/2018/dsa-4335
- access.redhat.com/errata/RHSA-2018:3680
- access.redhat.com/errata/RHSA-2018:3681
- www.securityfocus.com/bid/105868
- mailman.nginx.org/pipermail/nginx-announce/2018/000220.html
- www.securitytracker.com/id/1042038
- bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-16843
- access.redhat.com/errata/RHSA-2018:3653
- usn.ubuntu.com/3812-1/
- lists.opensuse.org/opensuse-security-announce/2019-09/msg00035.html
- support.apple.com/kb/HT212818
- seclists.org/fulldisclosure/2021/Sep/36
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.