[TLP:CLEAR] F5 NGINX opravuje 4 zraniteľnosti
F5 opravuje 4 zraniteľnosti v produkte NGINX. Zraniteľnosť bola opravená vo verziách 1.27.0 a 1.26.1 pre NGINX Open Source a vo verziách R32 a R31P2 pre NGINX Plus [1][2][3][4].
Neautentizovanému vzdialenému útočníkovi je umožnené neoprávnene pristupovať k určitým častiam pamäte. Zraniteľnosť je zneužiteľná iba v prípade, že je NGINX nakonfigurovaný, aby používal HTTP/3 QUIC modul a sieťová infraštruktúra podporuje maximálnu velkosť paketu 4096B a viac [1].
Zraniteľnosť sa nachádza v produktoch:
- NGINX Plus; >=R30, <R31P2;
- NGINX Open Source; >=1.25.0, <1.26.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Viac informácií:
- CVE-2024-34161 na cve.org, NVD
- CWE-416 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 5. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené spôsobiť DoS útok alebo prepísať dáta v pamäti. Zraniteľnosť je zneužiteľná iba v prípade, že je NGINX nakonfigurovaný, aby používal HTTP/3 QUIC modul [2].
Zraniteľnosť sa nachádza v produktoch:
- NGINX Plus; >=R30, <R31P2;
- NGINX Open Source; >=1.25.0, <1.26.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
Viac informácií:
- CVE-2024-32760 na cve.org, NVD
- CWE-787 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 5. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok. Zraniteľnosť je zneužiteľná iba v prípade, že je NGINX nakonfigurovaný, aby používal HTTP/3 QUIC modul [3].
Zraniteľnosť sa nachádza v produktoch:
- NGINX Plus; >=R30, <R31P2;
- NGINX Open Source; >=1.25.0, <1.26.1;
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Viac informácií:
- CVE-2024-35200 na cve.org, NVD
- CWE-476 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 5. 2024.
Neautentizovanému vzdialenému útočníkovi je umožnené vykonať DoS útok. Zraniteľnosť je zneužiteľná iba v prípade, že je NGINX nakonfigurovaný, aby používal HTTP/3 QUIC modul. Zneužitie taktiež závisí od správneho načasovania zasielaných požiadaviek [4].
Zraniteľnosť sa nachádza v produktoch:
- NGINX Plus; >=R30, <R31P2;
- NGINX Open Source; >=1.25.0, <1.26.1;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:L
Viac informácií:
- CVE-2024-31079 na cve.org, NVD
- CWE-121 na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 29. 5. 2024.
Odkazy
Za CESNET, z.s.p.o. Martin Krajči dňa 30. 5. 2024.