CVE-2025-53859
Açıklama
NGINX Open Source ve NGINX Plus, kimliği doğrulanmamış bir saldırganın NGINX SMTP kimlik doğrulama işlemi belleğini aşırı okumasına izin verebilecek ngx_mail_smtp_module içerisinde bir zafiyete sahiptir; sonuç olarak sunucu tarafı, kimlik doğrulama sunucusuna gönderilen bir istekteki rastgele baytları sızdırabilir. Bu sorun NGINX SMTP kimlik doğrulama işlemi sırasında meydana gelir ve saldırganın sızan verileri çıkarmak için hedef sisteme karşı hazırlık yapmasını gerektirir. Sorun NGINX'i yalnızca şu durumlarda etkiler: (1) ngx_mail_smtp_module ile derlenmişse, (2) smtp_auth direktifi "none" yöntemiyle yapılandırılmışsa ve (3) kimlik doğrulama sunucusu "Auth-Wait" yanıt üst bilgisini döndürüyorsa. Not: Teknik Destek Sonu (EoTS) aşamasına ulaşmış yazılım sürümleri değerlendirilmemiştir.
Nasıl düzeltilir
- f5 nginx_open_source1.29.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| f5 nginx_plus | r30, r31, r32, r33, r34 | — |
| f5 nginx_open_source | 0.7.22 ≤ v < 1.29.1 | 1.29.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.