[Sysadmins] I: nginx remote DoS/potential code exec vulnerability

[Sysadmins] I: nginx remote DoS/potential code exec vulnerability

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 1153 bytes --]

	Здравствуйте.
В nginx 0.1.0--0.8.14 обнаружена неприятная уязвимость:
вне зависимости от настроек сервера и в зависимости исключительно
от HTTP-запроса может произойти переполнение буфера в парсере таковых.
При этом сегфолтится непривилегированный worker и возможно
исполнение произвольного кода (по словам Игоря Сысоева,
маловероятное в случае большого количества запросов в секунду).

Исправлено апстримом в версиях 0.8.15, 0.7.62, 0.6.39, 0.5.38;
доступен патч: http://sysoev.ru/nginx/patch.180065.txt

Исправления для веток 4.0/4.1 доступны соответственно как
nginx-0.5.31-alt4.M40.2 и nginx-0.6.29-alt1.M41.2 -- эти сборки
содержат патч с целью минимизации изменений (возможно, стоит
всё-таки собрать 0.5.38, но IIRC там было некоторое изменение
по части server wildcards).  В 5.0 отправлена сборка 0.8.15-alt1
из Sisyphus.

Для 2.4 существует сборка 0.5.38-alt0.M24.1:
http://fly.osdn.org.ua/~mike/packages/nginx-M24/
-- её технически уже не получается положить в backports/2.4
как положено, я пока не могу обновить хэши.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] I: nginx remote DoS/potential code exec vulnerability

[Alexander Volkov]

On 2009-09-16 13:18:54 +0300, Michael Shigorin wrote:
MS> 	Здравствуйте.
MS> Исправления для веток 4.0/4.1 доступны соответственно как
MS> nginx-0.5.31-alt4.M40.2 и nginx-0.6.29-alt1.M41.2 -- эти сборки
MS> содержат патч с целью минимизации изменений (возможно, стоит
MS> всё-таки собрать 0.5.38, но IIRC там было некоторое изменение
MS> по части server wildcards).  В 5.0 отправлена сборка 0.8.15-alt1
MS> из Sisyphus.
Я локально пересобрал 5.0.38 для 4.0 на основе спека 0.5.31, обновил на всех
доступных серверах - нигде не вылезло проблем при обновлении.

--
 Regards, Alexander

Re: [Sysadmins] I: nginx remote DoS/potential code exec vulnerability

[Alexey Morsov]

[-- Attachment #1: Type: text/plain, Size: 618 bytes --]

On Wed, Sep 16, 2009 at 01:18:54PM +0300, Michael Shigorin wrote:
> Исправления для веток 4.0/4.1 доступны соответственно как
> nginx-0.5.31-alt4.M40.2 и nginx-0.6.29-alt1.M41.2 -- эти сборки
А где они доступны? Что-то найти не могу (в апдейтах конечно ничего нет)


-- 
WBR,
Alexey Morsov
программист ЗАО "ИК "Риком-Траст"
Jabber: samurai@www.fondmarket.ru
ALT Linux Team Member

Это не довод, чтобы рушить систему.
		-- ldv in sisyphus@

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 489 bytes --]

Re: [Sysadmins] I: nginx remote DoS/potential code exec vulnerability

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 602 bytes --]

On Wed, Sep 16, 2009 at 06:40:48PM +0400, Alexey Morsov wrote:
> > Исправления для веток 4.0/4.1 доступны соответственно как
> > nginx-0.5.31-alt4.M40.2 и nginx-0.6.29-alt1.M41.2 -- эти сборки
> А где они доступны? Что-то найти не могу (в апдейтах конечно ничего нет)

http://fly.osdn.org.ua/~mike/repos/nginx-M24/
http://fly.osdn.org.ua/~mike/repos/nginx-M40/
http://fly.osdn.org.ua/~mike/repos/nginx-M41/

2 ldv: и в самом деле, где?  Мне отчёты о сборке пришли.
И в updates бы неплохо.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] I: nginx remote DoS/potential code exec vulnerability

[Michael Shigorin]

On Wed, Sep 16, 2009 at 02:54:35PM +0400, Alexander Volkov wrote:
> > содержат патч с целью минимизации изменений (возможно, стоит
> > всё-таки собрать 0.5.38, но IIRC там было некоторое изменение
> > по части server wildcards).
> Я локально пересобрал 5.0.38 для 4.0 на основе спека 0.5.31,
> обновил на всех доступных серверах - нигде не вылезло проблем
> при обновлении.

У меня server ^.*$; принимать отказалось, в отличие от.
server .*; -- тоже (но по несколько иной причине -- к сожалению,
строчки не сохранил).  Пришлось изобразить server one.dom .*;

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/