PT-2022-5322 · Nginx · Nginx Njs

Q1Iq · Publicado 2022-10-28 · Atualizado 2022-10-31 · CVE-2022-43286

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Nginx NJS versão 0.7.2

Descrição

O problema está relacionado a um bug de uso de memória após liberação (heap-use-after-free) causado por uma cópia ilegal de memória na função njs json parse iterator call no arquivo njs json.c. Esse bug pode ser explorado por um invasor remoto para executar código arbitrário.

Recomendações

Para o Nginx NJS versão 0.7.2, como solução temporária, considere desativar a função njs json parse iterator call até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Use After Free

Enumeração de Fraquezas

CWE-416

Identificadores relacionados

BDU:2022-06627

CVE-2022-43286

Produtos afetados

Nginx Njs

Referências · 6

• 🔥 https://github.com/nginx/njs/issues/480 · Exploit
• https://github.com/nginx/njs/commit/2ad0ea24a58d570634e09c2e58c3b314505eaa6a · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2022-43286 · Nota de Segurança
• https://vuldb.com/?id.212488 · Nota
• https://osv.dev/vulnerability/CVE-2022-43286 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2022-06627 · Nota de Segurança