PSA til selfhosters der bruger NGINX, en kritisk sårbarhed er fundet og man skal derfor opdatere til 1.30.1 eller 1.31.0

5 months ago by VonReposti to c/fedditdk

Sårbarheden giver mulighed for DoS angreb på alle versioner udgivet de sidste 18 år og vil i nogle konfigurationer kunne udnyttes til at køre arbitrær kode igennem en memory overflow. Førstnævnte er meget simpelt at udføre, som gør det meget kritisk, sidstnævnte kræver en del ekspertise, men grundet potentialet er det særdeles kritisk.

I kan læse mere om det her: https://cybernews.com/...

Edit: Hvis man bruger Debian, så er det endnu ikke patched i stable versioner, I kan følge fremskridt på denne side: https://security-tracker.debian.org/...

SorteKanin 10 points 5 months ago

... og fordi denne besked måske var lidt for specifik og nørdet til at den ligefrem skal ud til alle brugere på Feddit.dk, så har jeg oprettet !selvhost@feddit.dk til dem der er interesseret i det 😀

save

path: 0 23766097, hotness: undefined, score: 10, children: 1

farsinuce 5 points 5 months ago

Fedt. Dén abonnerer jeg på.

save

path: 0 23766097 23766100, hotness: undefined, score: 5, children: 0

SlicedPotato 2 points 5 months ago

NGINX på serveren bag Feddit.dk er ihvertfald opdateret nu :)

save

path: 0 23821619, hotness: undefined, score: 2, children: 0

RedAle 2 points 5 months ago

Så vidt jeg lige kan forstå er denne sårbarhed også af den ret teoretiske slags, der kræver nogle ret specifikke omstændigheder for at kunne bruges. Altså, hold altid dine ting patched, men det her er en "det ser jeg på mandag morgen" ting, ikke en "aaaaaaaaahh ild i håret" ting.

save

path: 0 23766163, hotness: undefined, score: 2, children: 1

VonReposti 2 points 5 months ago

For remote code execution delen, så ja. Den er lidt mere teknisk og kræver en specifik konfiguration af NGINX før det kan udnyttes. Men DoS delen har en low barrier of entry og rammer alle versioner af NGINX. Ved DoS er skaden for en selfhoster selvfølgelig væsentlig lavere, men jeg ville personligt ikke løbe risikoen. Ikke nok til at udskyde kaffen om morgenen for privat udstyr men ikke noget jeg ville udskyde flere dage. Der går nok ikke lang tid før vi ser exploits på DoS delen.

save

path: 0 23766163 23767053, hotness: undefined, score: 2, children: 0