BDU:2022-02389

Уязвимость HTTP-сервера nginx, связанная с недостатками обработки HTTP-запросов, позволяющая нарушителю получить несанкционированный доступ к информации

Опубликовано: 2022-04-19

Описание

Уязвимость HTTP-сервера nginx связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к информации

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Ubuntu (18.04 LTS)Ubuntu (19.04)Red Hat Enterprise Linux (8)OpenSUSE Leap (15.1)Ubuntu (14.04 ESM)Debian GNU/Linux (8)Debian GNU/Linux (10)Red Hat Software CollectionsUbuntu (19.10)Ubuntu (16.04 ESM)Debian GNU/Linux (11)Xcode (до 13.0)nginx (до 1.17.7)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций:https://github.com/kubernetes/ingress-nginx/pull/4859

http://nginx.org/en/CHANGES

https://github.com/nginx/nginx/commit/c1be55f97211d38b69ac0c2027e6812ab8b1b94e

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2019-20372

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/hydra/rest/securitydata/cve/CVE-2019-20372.xml

Для Ubuntu
https://ubuntu.com/security/CVE-2019-20372

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2019-20372

Для ОС ОН «Стрелец»:
Обновление программного обеспечения nginx до версии 1.10.3-1+deb9u7

Оценка CVSS

Балл	4.3 — средняя опасность

Источники и патчи

https://github.com/kubernetes/ingress-nginx/pull/4859 https://bertjwregeer.keybase.pub/2019-12-10%20-%20error_page%20request%20smuggling.pdf https://duo.com/docs/dng-notes#version-1.5.4-january-2020 http://nginx.org/en/CHANGES https://github.com/nginx/nginx/commit/c1be55f97211d38b69ac0c2027e6812ab8b1b94e https://usn.ubuntu.com/4235-1/https://usn.ubuntu.com/4235-2/https://security.netapp.com/advisory/ntap-20200127-0003/

Проверьте безопасность своего сайта и почты → Полная проверка домена