Krytyczna luka w NGINX Plus i Open Source umożliwiająca DoS i potencjalne wykonanie kodu

Co wiadomo

W NGINX Plus i NGINX Open Source wykryto poważną lukę związaną z dyrektywą map używającą wyrażeń regularnych i zmiennych w wyrażeniach tekstowych. Atakujący może wysłać specjalnie spreparowane żądania HTTP, co może spowodować przepełnienie bufora na stercie i restart procesu roboczego NGINX, a w niektórych warunkach także wykonanie złośliwego kodu.

Wpływ biznesowy

Luka ta może prowadzić do przerwy w działaniu usług internetowych opartych na NGINX, powodując odmowę usługi (DoS) lub, w przypadku systemów bez ASLR lub z możliwością obejścia ASLR, do wykonania nieautoryzowanego kodu. Brak jest ekspozycji na poziomie kontrolnym, problem dotyczy tylko płaszczyzny danych, co jednak może znacząco wpłynąć na dostępność i bezpieczeństwo infrastruktury sieciowej.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie przejrzeć dostępne aktualizacje i poprawki od dostawcy NGINX oraz zastosować je w swoich środowiskach. Warto ograniczyć ekspozycję serwerów NGINX na nieznane lub niezweryfikowane żądania HTTP, monitorować logi pod kątem nietypowych wzorców ruchu oraz priorytetyzować działania zabezpieczające w oparciu o ryzyko i krytyczność systemów.

Źródła

• NVD
• Reference