Quel est le problème
Un problème de sécurité dans le résolveur nginx provoque une réécriture de mémoire de 1 octet. Un attaquant capable de forger des paquets UDP provenant du serveur DNS peut exploiter cela pour faire planter des processus de travail ou causer d'autres impacts potentiels.
Qui est concerné
Cette vulnérabilité affecte les versions de nginx à partir de 0.6.18 jusqu'à la version 1.20.1 non incluse.
Que faire
Mettez à niveau nginx vers la version 1.20.1.
Description d’origine
A security issue in nginx resolver was identified, which might allow an attacker who is able to forge UDP packets from the DNS server to cause 1-byte memory overwrite, resulting in worker process crash or potential other impact.
Logiciels concernés
- nginx ≥ 0.6.18 < 1.20.1 Corrigé dans: 1.20.1 correspondance exacte
Détails
- Publication
- 2021-06-01
- Dernière modification
- 2024-08-04
- Vecteur CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:L- CWE
- CWE-193
- EPSS (probabilité d’exploitation à 30 jours)
- 53.46% (percentile 99)
Références
- cve.org/CVE-2021-23017
- nvd.nist.gov/vuln/detail/CVE-2021-23017
- support.f5.com/csp/article/K12331123%2C
- mailman.nginx.org/pipermail/nginx-announce/2021/000300.html
- lists.apache.org/thread.html/r6fc5c57b38e93e36213e9a18c8a4e5dbd5ced1c7e57f08a1735975ba%40%...
- lists.apache.org/thread.html/r37e6b2165f7c910d8e15fd54f4697857619ad2625f56583802004009%40%...
- lists.apache.org/thread.html/rf318aeeb4d7a3a312734780b47de83cefb7e6995da0b2cae5c28675c%40%...
- lists.apache.org/thread.html/r4d4966221ca399ce948ef34884652265729d7d9ef8179c78d7f17e7f%40%...
- lists.apache.org/thread.html/rf232eecd47fdc44520192810560303073cefd684b321f85e311bad31%40%...
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/G...
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/7...
- www.oracle.com/security-alerts/cpuoct2021.html
- security.netapp.com/advisory/ntap-20210708-0006/
- www.oracle.com/security-alerts/cpujan2022.html
Suivez ces versions sur vos propres serveurs
InfraGuard collecte les versions logicielles installées sur chaque serveur et signale celles qui présentent des vulnérabilités connues. Auto-hébergé : rien ne quitte votre réseau.
Ce produit utilise des données de l’API du NVD, mais n’est ni approuvé ni certifié par le NVD. CVE® est une marque déposée de The MITRE Corporation ; les enregistrements CVE sont utilisés conformément aux conditions d’utilisation du CVE Program.