PT-2022-3849 · Nginx · Nginx Njs

Salmonxo · Publicado 2022-04-08 · Atualizado 2024-08-03 · CVE-2022-29379

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Nginx NJS versão 0.7.3

Descrição

O problema é causado por um estouro de pilha na função njs default module loader, localizada em /src/njs/src/njs module.c, do interpretador Nginx NJS. Isso poderia permitir que um invasor remoto comprometesse a confidencialidade, integridade e disponibilidade de informações protegidas. Observe que várias partes terceiras contestam este relatório, afirmando que o comportamento é encontrado apenas em código de desenvolvimento não lançado, que não faz parte das versões 0.7.2, 0.7.3 ou 0.7.4.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Memory Corruption

Stack Overflow

Enumeração de Fraquezas

CWE-787

CWE-121

Identificadores relacionados

BDU:2022-04651

CVE-2022-29379

Produtos afetados

Nginx Njs

Referências · 10

• 🔥 https://github.com/nginx/njs/issues/493 · Exploit
• https://github.com/nginx/njs/commit/ab1702c7af9959366a5ddc4a75b4357d4e9ebdc1 · Correção
• https://github.com/nginx/njs/issues/491 · Nota
• https://t.me/cvenotify/80150 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-04651 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2022-29379 · Nota de Segurança
• https://vuldb.com/ru/?id.200689 · Nota
• https://t.me/cibsecurity/43328 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-29379 · Aviso do Fabricante
• https://t.me/cvenotify/88717 · Publicação no Telegram