Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] F5 NGINX OpenID Connect opravuje 1 zraniteľnosť

F5 opravuje stredne závažnú zraniteľnosť v komponente NGINX OpenID Connect, ktorá je implementovaná v niekoľkých produktoch [1]. Produkty a ich opravy: NGINX Instance Manager - 2.17.4 NGINX API Connectivity Manager - 1.9.3 NGINX Ingress Controller - 3.7.1 NGINX Plus - odporúča sa aktualizovať produkt na verziu R31 alebo novšiu a ďalej aktualizovať modul nginx-plus-module-njs a komponent nginx-openid-connect. Detailné informácie nájdete na [2].

F5 NGINX OpenID Connect - zneužitie relácie (CVE-2024-10318)
CVSS 5.4 (Medium)

Neautentizovanému vzdialenému útočníkovi je s využitím techník sociálneho inžinierstva umožnené zneužiť reláciu používateľa kvôli nedostatočnej validácii pri autentizácii. NGINX Plus je zraniteľný iba v prípade, že je nainštalovaný komponent OpenID Connect (NJS-based) [1][3].

Zraniteľnosť sa nachádza v produktoch:

  • NGINX Instance Manager; >=2.5.0, <=2.17.3;
  • NGINX API Connectivity Manager; >=1.3.0, <=1.9.2;
  • NGINX Ingress Controller; ==1.12.5; >=2.2.1, <=2.4.2; >=3.0.0, <=3.7.0;
  • NGINX Plus; <R31;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 6. 11. 2024.

Za CESNET, z.s.p.o. Michaela Ručková dňa 8. 11. 2024.

CESNET, z.s.p.o. Logo