Podatności NGINX

Pakiet nginx przed wersją 1.6.2-5+deb8u3 na Debianie jessie oraz wcześniejsze wersje na Ubuntu i Gentoo umożliwiają lokalnym użytkownikom z dostępem do konta użytkownika serwera WWW uzyskanie uprawnień roota poprzez atak symlink na dziennik błędów.

W nginx przed wersją 1.10.1 oraz 1.11.x przed wersją 1.11.1 występuje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez złośliwe żądanie, co prowadzi do dereferencji wskaźnika NULL i awarii procesu roboczego.

Resolver w nginx przed wersją 1.8.1 oraz 1.9.x przed wersją 1.9.10 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez nieprawidłowe odwołanie do wskaźnika, co prowadzi do awarii procesu roboczego.

W implementacji SPDY w nginx 1.3.15 przed wersją 1.4.7 oraz 1.5.x przed wersją 1.5.12 występuje przepełnienie bufora oparte na stercie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie.

Nginx w wersji 0.7.64 zapisuje dane do pliku dziennika bez oczyszczania znaków niedrukowalnych. Zdalny atakujący może wysłać żądanie HTTP zawierające sekwencję ucieczki terminala, co może pozwolić na modyfikację tytułu okna, a potencjalnie także na wykonanie dowolnych poleceń lub nadpisanie plików.

Przepełnienie bufora na stercie w modułach ngx_http_proxy_v2_module i ngx_http_grpc_module NGINX. Specyficzne warunki konfiguracyjne i duże nagłówki mogą spowodować awarię procesu roboczego NGINX, a w niektórych przypadkach umożliwić wykonanie kodu.

Podatność w module ngx_http_rewrite_module NGINX Plus i NGINX Open Source występuje, gdy dyrektywa rewrite używa wzorca regex z nakładającymi się przechwyceniami PCRE, a ciąg zastępczy odwołuje się do wielu takich przechwyceń. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_rewrite_module. Problem występuje, gdy dyrektywa rewrite jest następowana przez dyrektywy rewrite, if lub set oraz nienazwane przechwytywanie PCRE (np. $1, $2) z ciągiem zastępczym zawierającym znak zapytania (?). Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

Podatność w module ngx_http_dav_module NGINX pozwala atakującemu wywołać przepełnienie bufora procesu roboczego NGINX. Problem występuje, gdy konfiguracja używa metod MOVE lub COPY z dyrektywą alias i lokalizacją prefiksu.

Podatność typu use-after-free w resolverze nginx w wersjach od 0.6.18 do 1.8.0 oraz 1.9.x przed 1.9.10 pozwala zdalnym atakującym na spowodowanie awarii procesu roboczego (denial of service) lub potencjalnie innego nieokreślonego wpływu poprzez spreparowaną odpowiedź DNS związaną z przetwarzaniem odpowiedzi CNAME.

NGINX Plus i NGINX Open Source skonfigurowane z ssl_session_cache shared:name:size bez jawnych dyrektyw ssl_session_ticket_key do automatycznej rotacji kluczy biletów sesji SSL pozwalają zdalnemu nieuwierzytelnionemu atakującemu na fałszowanie sesji klienta SSL w nieprzewidywalny sposób. Atakujący może wykorzystać tę podatność do obejścia weryfikacji certyfikatów klienta.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_core_module. Gdy asynchroniczne I/O plików (AIO) jest włączone w niektórych konfiguracjach, przetwarzanie strony Server Side Includes (SSI) zawierającej polecenia „include virtual” może wywołać Use-After-Free (UAF) w procesie roboczym NGINX. Może to spowodować uszkodzenie pamięci lub awarię procesu roboczego. Dodatkowo atakujący mogą wykonać kod w systemach z wyłączonym Address Space Layout Randomization (ASLR) lub gdy atakujący może obejść ASLR.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_v3_module. Przy używaniu HTTP/3 z dyrektywą proxy_request_buffering on nieuwierzytelniony atakujący może wstrzyknąć dane do przekazywanego żądania.

Podatność w NGINX Plus i NGINX Open Source, gdy dyrektywa map używa dopasowania regex, a dyrektywa root lub format logu dostępu odwołuje się do zmiennych przechwytywania regex przed zmienną wyjściową mapy. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie sterty w procesie roboczym NGINX, co prowadzi do restartu lub potencjalnie wykonania kodu.

Podatność w NGINX Plus i NGINX Open Source, gdy lokalizacja używa dyrektywy alias wraz z rewrite oraz set lub return odwołującym się do zmiennej $request_filename. Alternatywnie, ten sam efekt można osiągnąć, gdy $request_filename jest używany w dyrektywie formatu logu dostępu. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie sterty w procesie roboczym NGINX, co prowadzi do restartu lub potencjalnie wykonania kodu.

NGINX Plus i NGINX Open Source mają podatność w module ngx_http_v3_module. W przypadku korzystania z HTTP/3 z OpenSSL w wersjach <= 3.5.0 w pewnych konfiguracjach może wystąpić ograniczone przepełnienie bufora sterty podczas przetwarzania uzgadniania TLS. Może to wystąpić w sposób niedeterministyczny, poza kontrolą atakującego. Może to spowodować przepełnienie bufora sterty w procesie roboczym NGINX prowadzące do restartu i/lub ograniczonego uszkodzenia danych.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_slice_module. Gdy skonfigurowano dyrektywę slice z nienazwanymi przechwyceniami wyrażeń regularnych lub podczas aktualizacji pamięci podręcznej w tle, nieuwierzytelniony atakujący może wysłać żądania powodujące dostęp do niezainicjalizowanej pamięci w procesie roboczym NGINX, co prowadzi do ograniczonego ujawnienia zawartości pamięci lub restartu procesu.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_ssi_module. Problem występuje przy jednoczesnym użyciu dyrektyw SSI, proxy_pass oraz proxy_buffering off. Nieuwierzytelniony atakujący z możliwością ataku typu man-in-the-middle (MITM) może kontrolować odpowiedzi z serwera nadrzędnego, co prowadzi do użycia po zwolnieniu (use-after-free) w procesie roboczym NGINX.

Podatność w NGINX Plus i NGINX Open Source występuje, gdy dyrektywa map używa wyrażeń regularnych, a wyrażenie łańcuchowe odwołuje się do zmiennych przechwytujących z wyrażenia regularnego przed odwołaniem do zmiennej wyjściowej mapy. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu lub potencjalnie do wykonania kodu.

W NGINX Plus i NGINX Open Source z włączonym modułem HTTP/3 QUIC istnieje podatność umożliwiająca atakującemu sfałszowanie źródłowego adresu IP, co pozwala na ominięcie autoryzacji lub ograniczeń prędkości.

Podatność w module ngx_http_mp4_module serwera NGINX umożliwia atakującemu wywołanie odczytu lub zapisu poza zakresem pamięci procesu roboczego NGINX poprzez specjalnie spreparowany plik MP4. Może to prowadzić do zakończenia działania procesu lub potencjalnie do wykonania kodu.

Podatność w module ngx_mail_auth_http_module NGINX umożliwia nieokreślone żądania powodujące zakończenie procesów roboczych. Problem występuje, gdy włączone jest uwierzytelnianie CRAM-MD5 lub APOP, a serwer uwierzytelniania zezwala na ponowienie próby poprzez nagłówek Auth-Wait.