Nginx:CVE-2021-23017;CVE-2022-41742

合集 - 漏扫合集(7)

1.Nginx:CVE-2021-23017;CVE-2022-417422023-06-01

2.NGINX版本信息泄露2023-06-013.Swagger API 未授权访问漏洞2023-06-014.Nginx 平滑升级2023-06-025.Spring Boot Actuator 未授权访问漏洞2023-06-036.JQuery-XSS漏洞（CVE-2020-11022/CVE-2020-11023）2023-06-077.缓慢的http拒绝服务攻击2023-08-07

收起

nginx 安全漏洞(CVE-2021-23017)

详细描述

Nginx是美国Nginx公司的一款轻量级Web服务器/反向代理服务器及电子邮件（IMAP/POP3）代理服务器。
nginx存在安全漏洞，该漏洞源于一个离一错误在该漏洞允许远程攻击者可利用该漏洞在目标系统上执行任意代码。

受影响版本

0.6.18-1.20.0

解决办法

厂商补丁:
目前厂商已发布升级补丁以修复漏洞，补丁获取链接：
https://www.nginx.com/blog/updating-nginx-dns-resolver-vulnerability-cve-2021-23017/

nginx 越界写入漏洞（CVE-2022-41742）

详细描述

Nginx Plus 的模块 ngx_http_hls_module 中存在一个漏洞，该漏洞可能允许本地攻击者破坏 NGINX 的工作进程内存，从而导致其崩溃或在使用特制的音频或视频文件时产生其他潜在的影响。只有当配置文件中使用 hls 指令时，该问题才会影响 Nginx Plus。
此外，只有当攻击者可以触发使用模块 ngx_http_hls_module 对特制音频或视频文件进行 处理时，攻击才有可能成功。一次成功的利用可能允许一个本地攻击者破坏 NGINX 的 worker 进程，导致其中止或其他潜在的影响。

https://mailman.nginx.org/pipermail/nginx-announce/2022/RBRRON6PYBJJM2XIAPQBFBVLR4Q6IHRA.html

受影响版本

1.1.3-1.22.0

解决办法

建议您更新当前系统或软件至最新版，完成漏洞的修复。