PT-2020-2709 · Nginx · Nginx Controller

Publicado 2020-05-06 · Atualizado 2022-07-12 · CVE-2020-5895

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

NGINX Controller, versões 3.1.0 a 3.3.0

Descrição

O problema está relacionado a um estouro de buffer na memória, o que pode permitir que um invasor execute código arbitrário. No sistema local, processos ou usuários podem gravar dados arbitrários no soquete devido a permissões de leitura e gravação globais, causando potencialmente uma falha de segmentação ao gravar mensagens malformadas no soquete.

Recomendações

Para as versões 3.1.0 a 3.3.0 do NGINX Controller, considere restringir o acesso ao soquete para impedir que invasores do sistema local gravem dados arbitrários nele. Como solução temporária, restrinja o uso do soquete AVRD até que um patch esteja disponível.

Correção

Buffer Overflow

Incorrect Permission

Enumeração de Fraquezas

CWE-119

CWE-732

Identificadores relacionados

BDU:2020-02785

CVE-2020-5895

Produtos afetados

Nginx Controller

Referências · 8

• https://osv.dev/vulnerability/CVE-2020-5895 · Aviso do Fabricante
• https://docs.nginx.com/nginx-controller/releases/#nginx-controller-version-3-4-0 · Nota
• https://bdu.fstec.ru/vul/2020-02785 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2020-5895 · Nota de Segurança
• https://t.me/cvenotify/3607 · Publicação no Telegram
• https://cybersecurity-help.cz/vdb/SB2020050623 · Nota
• https://security.netapp.com/advisory/ntap-20200522-0001 · Nota
• https://support.f5.com/csp/article/K95120415 · Aviso do Fabricante