DFN-CERT-2012-0640 Schwachstelle in Nginx [Linux][SuSE]

Von DFN CERT

- 10. April 2012

Liebe Kolleginnen und Kollegen,

bitte beachten Sie die folgende Sicherheitsmeldung.

Betroffene Software:

Paket nginx

Betroffene Plattformen:

openSUSE 12.1
openSUSE 11.4

Aufgrund einer Schwachstelle in Nginx kann ein entfernter Angreifer Zugriff
auf vertrauliche Information erlangen.

Software Upgrade:

Der Hersteller stellt Updates zur Behebung der Schwachstelle bereit.

http://download.opensuse.org/update/

CVE-2012-1180: Schwachstelle in Nginx

Nginx 1.0.x vor Version 1.0.14 und Nginx 1.1.x vor Version 1.1.17 enthält
eine Schwachstelle bei der Verarbeitung von “HTTP Responses” von
Upstream-Servern. Diese führt dazu, dass Inhalte aus bereits freigegebenem
Speicher an einen Client gesendet werden können, wodurch ein entfernter
Angreifer Zugriff auf sensible Daten erlangen kann. Dazu muss es ihm möglich
sein, präparierte “HTTP Responses” vom Upstream-Server an Nginx zu senden.

Referenzen:

Dieses Advisory finden Sie auch im DFN-CERT Portal unter:
https://portal.cert.dfn.de/adv/DFN-CERT-2012-0640/

Das Hersteller Advisory:
http://lists.opensuse.org/opensuse-security-announce/

Schwachstelle CVE-2012-1180:
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-1180