NGINX пусна версии 1.30.6 и 1.31.7 на 14 октомври, за да отстрани пет уязвимости, една от които присъства във всяка версия от май 2005 г. насам. Налице са три грешки в паметта, за които F5 — компанията, разработваща NGINX — съобщава, че биха могли да предизвикат срив на работен процес (worker process) или потенциално да позволят на атакуващ да изпълни код, като всяка от тях изисква специфична конфигурация за експлоатация. Четвъртата позволява на атакуващ да фалшифицира TLS сесия, която би могла...
NGINX отстранява 5 уязвимости, включително потенциално RCE и проблем в TLS, който може да пропусне проверките на клиентски сертификати
Превод и анализ на NodePoint News по материал на The Hacker News „NGINX Fixes 5 Flaws, Including Possible RCE and a TLS Bug That May Skip Client-Cert Checks“
Анализ на риска за България
NGINX е сред най-масово използваните уеб сървъри и обратни прокси сървъри в България, внедрен в държавната администрация, финансовия сектор и критични ИТ инфраструктури. Въпреки че за успешна експлоатация са нужни специфични конфигурации, възможността за отдалечено изпълнение на код и заобикаляне на TLS проверките създава сериозен риск и изисква своевременно инсталиране на корекции за сигурност.