CVE-2022-41741
Açıklama
1.23.2 ve 1.22.1 versiyonlarından önceki NGINX Open Source, R2 P1 ve R1 P1 versiyonlarından önceki NGINX Open Source Subscription ile R27 P1 ve R26 P1 versiyonlarından önceki NGINX Plus, yerel bir saldırganın özel olarak hazırlanmış bir ses veya video dosyası kullanarak NGINX worker belleğini bozmasına izin verebilen ve bunun sonucunda işlemin sonlanmasına veya diğer potansiyel etkilere yol açabilen ngx_http_mp4_module modülünde bir güvenlik açığına sahiptir. Bu sorun, yalnızca ngx_http_mp4_module ile derlenen NGINX ürünlerini ve yapılandırma dosyasında mp4 direktifinin kullanıldığı durumları etkilemektedir. Ayrıca saldırı, yalnızca bir saldırganın ngx_http_mp4_module modülü ile özel olarak hazırlanmış bir ses veya video dosyasının işlenmesini tetikleyebilmesi durumunda mümkündür.
Nasıl düzeltilir
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/BPRVYA4FS34VWB4FEFYNAD7Z2LFCJVEI/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FD6M3PVVKO35WLAA7GLDBS6TEQ26SM64/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WBORRVG7VVXYOAIAD64ZHES2U2VIUKFQ/
- debian.org/security/2022/dsa-5281
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| f5 nginx | 1.1.3 ≤ v ≤ 1.22.0, r22 ≤ v ≤ r27, 1.23.0, 1.23.1, r1, r2 | — |
| f5 nginx_ingress_controller | 1.9.0 ≤ v ≤ 1.12.4, 2.0.0 ≤ v ≤ 2.4.0 | — |
| fedoraproject fedora | 35, 36, 37 | — |
| debian debian_linux | 10.0, 11.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.