PT-2020-18764 · Nginx · Nginx Controller

Publicado 2020-03-27 · Atualizado 2022-04-22 · CVE-2020-5863

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H

Nome do software vulnerável e versões afetadas

Versões do NGINX Controller anteriores à 3.2.0

Descrição

Um invasor não autenticado com acesso de rede à API do Controller pode criar contas de usuário sem privilégios. O usuário criado só pode fazer o upload de uma nova licença para o sistema, mas não pode visualizar ou modificar nenhum outro componente do sistema.

Recomendações

Para versões do NGINX Controller anteriores à 3.2.0, atualize para a versão 3.2.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à API do Controller para impedir que invasores não autenticados criem contas de usuário.

Correção

Identificadores relacionados

CVE-2020-5863

Produtos afetados

Nginx Controller

Referências · 5

• https://support.f5.com/csp/article/K14631834 · Aviso do Fabricante
• https://security.netapp.com/advisory/ntap-20200430-0005 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-5863 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-5863 · Aviso do Fabricante
• https://t.me/cvenotify/2239 · Publicação no Telegram