PT-2020-18768 · Nginx · Nginx Controller Agent
Publicado
2020-04-23
·
Atualizado
2022-04-26
·
CVE-2020-5867
CVSS v3.1
8.1
Alta
| Vetor | AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do NGINX Controller Agent anteriores à 3.3.0
Descrição
O problema diz respeito ao script de instalação do NGINX Controller Agent, ‘install.sh’, que utiliza HTTP em vez de HTTPS para verificar e instalar pacotes. Isso poderia expor o sistema a ataques do tipo “man-in-the-middle” ou à interceptação de dados.
Recomendações
Para versões anteriores à 3.3.0, atualize para a versão 3.3.0 ou posterior para resolver o problema. Como solução temporária, considere modificar o script ‘install.sh’ para usar HTTPS em vez de HTTP para verificar e instalar pacotes. Restrinja o acesso ao script ‘install.sh’ para minimizar o risco de exploração até que a atualização seja aplicada.
Correção
Cleartext Transmission of Sensitive Information
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Nginx Controller Agent