何が問題か
nginxのURI処理においてエスケープされていないスペース文字を適切に処理しない問題が存在します。リモートの攻撃者はこの脆弱性を悪用して、意図されたアクセス制限を迂回する可能性があります。
影響を受ける対象
nginx バージョン 0.8.41 から 1.4.3、および 1.5.7 より前の 1.5.x バージョンが影響を受けます。
対処方法
影響を受ける nginx のインストールをバージョン 1.4.4 または 1.5.7 にアップグレードしてください。
原文の説明
nginx 0.8.41 through 1.4.3 and 1.5.x before 1.5.7 allows remote attackers to bypass intended restrictions via an unescaped space character in a URI.
影響を受けるソフトウェア
- nginx ≥ 1.5.0 ≤ 1.5.6≥ 0.8.41 < 1.4.4 修正バージョン: 1.4.4 完全一致
詳細
- 公開日
- 2013-11-24
- 最終更新
- 2024-08-07
- CVSS ベクター
AV:N/AC:L/Au:N/C:P/I:P/A:P- EPSS（30日以内の悪用確率）
- 68.46% (パーセンタイル 99)
参考資料
- cve.org/CVE-2013-4547
- nvd.nist.gov/vuln/detail/CVE-2013-4547
- secunia.com/advisories/55757
- lists.opensuse.org/opensuse-security-announce/2013-12/msg00007.html
- lists.opensuse.org/opensuse-updates/2013-11/msg00084.html
- secunia.com/advisories/55825
- secunia.com/advisories/55822
- lists.opensuse.org/opensuse-updates/2013-11/msg00119.html
- lists.opensuse.org/opensuse-updates/2013-11/msg00118.html
- www.debian.org/security/2012/dsa-2802
- mailman.nginx.org/pipermail/nginx-announce/2013/000125.html
本製品は NVD API のデータを使用していますが、NVD による承認または認定を受けたものではありません。CVE® は The MITRE Corporation の登録商標です。CVE レコードは CVE Program の利用規約に基づいて使用しています。