Исходное сообщение
"Критическая уязвимость в http-сервере Nginx" Отправлено opennews, 15-Сен-09 02:03
В web-сервере Nginx обнаружена (http://www.lexa.ru/nginx-ru/msg27388.html) удаленная критическая уязвимость (http://www.securityfocus.com/bid/36384) (CERT VU#180065, CVE-2009-2629 (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-2629)): переполнение буфера, которое может привести к выполнению произвольного кода с правами рабочих процессов или к осуществлению атаки "отказ в обслуживании" через передачу специальным образом сформированного URL. Уязвимые версии: 0.1.0-0.8.14. С исправлением выпущены версии nginx-0.8.15 (nginx/nginx-0.8.15.tar.gz), nginx-0.7.62 (nginx/nginx-0.7.62.tar.gz), nginx-0.6.39 (nginx/nginx-0.6.39.tar.gz) и nginx-0.5.38 (nginx/nginx-0.5.38.tar.gz). Доступен патч (http://sysoev.ru/nginx/patch.180065.txt) и обновления для Debian (http://www.debian.org/security/2009/dsa-1884), Fedora (https://admin.fedoraproject.org/updates/nginx-0.7.62-1.fc10), FreeBSD (http://www.vuxml.org/freebsd/152b27f0-a158-11de-990c-e5b1d4c...). Информации о наличии эсплоита в публичном доступе пока нет. URL: http://sysoev.ru/nginx/patch.180065.txt Новость: http://www.opennet.ru/opennews/art.shtml?num=23417