Debian DLA-2680-1:nginx 安全更新

critical Nessus 插件 ID 150336

简介

远程 Debian 主机缺少安全更新。

描述

Jamie Landeg-Jones 和 Manfred Paul 在小型、强大、可扩展的 Web/代理服务器 NGINX 中发现一个缓冲区溢出漏洞。

NGINX 多年来一直存在超过四位数的缓冲区溢出,如修改日期为 1969 年的文件所证实,autoindex 模块遇到该文件时,该文件会导致整数溢出(或在很久以后出现错误的修改日期)。

对于 Debian 9 Stretch,已在版本 1.10.3-1+deb9u7 中修复此问题。

建议您升级 nginx 程序包。

如需了解 nginx 的详细安全状态,请参阅其安全跟踪页面: https://security-tracker.debian.org/tracker/nginx

注意:Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下,尽可能进行自动清理和排版。

解决方案

升级受影响的程序包。

另见

https://lists.debian.org/debian-lts-announce/2021/06/msg00009.html

https://packages.debian.org/source/stretch/nginx

https://security-tracker.debian.org/tracker/source-package/nginx

插件详情

严重性: Critical

ID: 150336

文件名: debian_DLA-2680.nasl

版本: 1.3

类型: local

代理: unix

发布时间: 2021/6/8

最近更新时间: 2021/6/16

支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Nessus Agent

风险信息

VPR

风险因素: Medium

分数: 5.9

CVSS v2

风险因素: High

基本分数: 7.5

时间分数: 5.5

矢量: AV:N/AC:L/Au:N/C:P/I:P/A:P

时间矢量: E:U/RL:OF/RC:C

CVSS 分数来源: CVE-2017-20005

CVSS v3

风险因素: Critical

基本分数: 9.8

时间分数: 8.5

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

时间矢量: E:U/RL:O/RC:C

漏洞信息

CPE: p-cpe:/a:debian:debian_linux:libnginx-mod-http-auth-pam, p-cpe:/a:debian:debian_linux:libnginx-mod-http-cache-purge, p-cpe:/a:debian:debian_linux:libnginx-mod-http-dav-ext, p-cpe:/a:debian:debian_linux:libnginx-mod-http-echo, p-cpe:/a:debian:debian_linux:libnginx-mod-http-fancyindex, p-cpe:/a:debian:debian_linux:libnginx-mod-http-geoip, p-cpe:/a:debian:debian_linux:libnginx-mod-http-headers-more-filter, p-cpe:/a:debian:debian_linux:libnginx-mod-http-image-filter, p-cpe:/a:debian:debian_linux:libnginx-mod-http-lua, p-cpe:/a:debian:debian_linux:libnginx-mod-http-ndk, p-cpe:/a:debian:debian_linux:libnginx-mod-http-perl, p-cpe:/a:debian:debian_linux:libnginx-mod-http-subs-filter, p-cpe:/a:debian:debian_linux:libnginx-mod-http-uploadprogress, p-cpe:/a:debian:debian_linux:libnginx-mod-http-upstream-fair, p-cpe:/a:debian:debian_linux:libnginx-mod-http-xslt-filter, p-cpe:/a:debian:debian_linux:libnginx-mod-mail, p-cpe:/a:debian:debian_linux:libnginx-mod-nchan, p-cpe:/a:debian:debian_linux:libnginx-mod-stream, p-cpe:/a:debian:debian_linux:nginx, p-cpe:/a:debian:debian_linux:nginx-common, p-cpe:/a:debian:debian_linux:nginx-doc, p-cpe:/a:debian:debian_linux:nginx-extras, p-cpe:/a:debian:debian_linux:nginx-full, p-cpe:/a:debian:debian_linux:nginx-light, cpe:/o:debian:debian_linux:9.0

必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l

易利用性: No known exploits are available

补丁发布日期: 2021/6/7

漏洞发布日期: 2021/6/6

参考资料信息

CVE: CVE-2017-20005