NGINX DNS解析程序漏洞(CVE-2021-23017)风险通告

2021-05-26 20:26:44
5月26日,Nginx发布安全公告,修复了nginx解析器中的一个DNS解析程序漏洞(CVE-2021-23017),由于ngx_resolver_copy()处理DNS响应时存在错误 ,当nginx配置文件中使用了“ resolver”指令时,未经身份验证的攻击者能够伪造来自DNS服务器的UDP数据包,构造特制的DNS响应导致1字节内存覆盖,从而造成拒绝服务或任意代码执行。

漏洞描述:

526日,Nginx发布安全公告,修复了nginx解析器中的一个DNS解析程序漏洞(CVE-2021-23017),由于ngx_resolver_copy()处理DNS响应时存在错误 ,当nginx配置文件中使用了“ resolver”指令时,未经身份验证的攻击者能够伪造来自DNS服务器的UDP数据包,构造特制的DNS响应导致1字节内存覆盖,从而造成拒绝服务或任意代码执行。

 

目前漏洞细节已被披露,腾讯安全专家建议受影响的用户尽快升级,避免导致黑客攻击利用。

 

Nginx是异步框架的网页服务器,也可以用作反向代理、负载平衡器和HTTP缓存。

 

漏洞编号:CVE-2021-23017

 

漏洞等级:高危,CVSS评分8.1

 

受影响的版本:

NGINX 0.6.18 – 1.20.0

 

安全版本:

NGINX Open Source 1.20.1 (stable)

NGINX Open Source 1.21.0 (mainline)

NGINX Plus R23 P1

NGINX Plus R24 P1

 

漏洞修复:

目前官方已修复该漏洞,腾讯安全专家建议受影响的用户尽快升级版本

 

官方下载链接:http://nginx.org/en/download.html

 

参考链接:

http://mailman.nginx.org/pipermail/nginx-announce/2021/000300.html 

https://www.freebuf.com/vuls/274503.html

 

扫描以下二维码关注“腾讯安全威胁情报中心”公众号,掌握最新的网络安全威胁情报。

 

最新资讯