CVE-2018-16843 — InfraGuard

问题所在

nginx 的 HTTP/2 实现中存在缺陷。攻击者可以利用此漏洞导致过度的内存消耗。

影响范围

这影响 1.15.6 和 1.14.1 之前的 nginx 版本。如果 nginx 编译时包含了 ngx_http_v2_module 且使用了 'listen' 指令的 'http2' 选项，则受此影响。

应对措施

将 nginx 升级至 1.14.1、1.15.6 或更高版本。

原始描述

nginx before versions 1.15.6 and 1.14.1 has a vulnerability in the implementation of HTTP/2 that can allow for excessive memory consumption. This issue affects nginx compiled with the ngx_http_v2_module (not compiled by default) if the 'http2' option of the 'listen' directive is used in a configuration file.

受影响的软件

nginx > 1.15.0 < 1.15.6> 1.9.5 < 1.14.1 修复版本: 1.15.6, 1.14.1 精确匹配

详情

发布日期: 2018-11-07
最后修改: 2024-08-05
CVSS 向量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
CWE: CWE-400
EPSS（30 天内被利用概率）: 47.99% (百分位 99)

参考资料

在您自己的服务器上追踪这些版本

InfraGuard 从每台服务器收集已安装软件的版本，并标出存在已知漏洞的版本。自托管部署——数据不会离开您的网络。

试用在线演示立即购买

本产品使用 NVD API 的数据，但未获得 NVD 的认可或认证。CVE® 是 The MITRE Corporation 的注册商标；CVE 记录依据 CVE Program 使用条款使用。