PT-2022-2606 · Nginx · Nginx Njs

Q1Iq · Publicado 2022-05-12 · Atualizado 2022-05-23 · CVE-2022-29369

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Nginx NJS versão 0.7.2

Descrição

O problema está relacionado a uma violação de segmentação por meio da função njs lvlhsh bucket find() no arquivo njs lvlhsh.c do interpretador Nginx NJS. Isso pode levar a um consumo descontrolado de recursos, permitindo potencialmente que um invasor remoto cause uma negação de serviço.

Recomendações

Para o Nginx NJS versão 0.7.2, considere desativar a função njs lvlhsh bucket find() como uma solução temporária até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Resource Exhaustion

Improper Check for Exceptional Conditions

Enumeração de Fraquezas

CWE-400

CWE-754

Identificadores relacionados

BDU:2022-03064

CVE-2022-29369

Produtos afetados

Nginx Njs

Referências · 7

• https://github.com/nginx/njs/commit/222d6fdcf0c6485ec8e175f3a7b70d650c234b4e · Correção
• https://github.com/nginx/njs/issues/467 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-29369 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-29369 · Aviso do Fabricante
• https://security.snyk.io/vuln/SNYK-UNMANAGED-NGINXNJS-2824100 · Nota
• https://t.me/cibsecurity/42549 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-03064 · Nota de Segurança