Es wurde eine Schwachstelle in F5 NGINX Plus sowie NGINX Open Source - die betroffene Version ist nicht klar definiert - (Web Server) entdeckt. Sie wurde als kritisch eingestuft. Hiervon betroffen ist eine unbekannte Funktionalität der Komponente QUIC Module. Dank Manipulation mit einer unbekannten Eingabe kann eine Pufferüberlauf-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-416 vorgenommen. Wie sich ein erfolgreicher Angriff genau auswirkt, ist nicht bekannt. Die Zusammenfassung von CVE lautet:

When NGINX Plus or NGINX OSS are configured to use the HTTP/3 QUIC module, undisclosed requests can cause NGINX worker processes to terminate. Note: The HTTP/3 QUIC module is not enabled by default and is considered experimental. For more information, refer to Support for QUIC and HTTP/3 https://nginx.org/en/docs/quic.html . Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated

Die Schwachstelle wurde am 14.02.2024 als K000138445 publiziert. Bereitgestellt wird das Advisory unter my.f5.com. Die Identifikation der Schwachstelle wird seit dem 02.02.2024 mit CVE-2024-24990 vorgenommen. Technische Details oder ein Exploit zur Schwachstelle sind nicht verfügbar. Ein Exploit zur Schwachstelle wird momentan etwa USD $0-$5k kosten (Preisberechnung vom 15.02.2024).

Ein Aktualisieren vermag dieses Problem zu lösen.

Produktinfo

Typ

• Web Server

Hersteller

• F5

Name

• NGINX Open Source
• NGINX Plus

Lizenz

• commercial

CPE 2.3info

• 🔒
• 🔒

CPE 2.2info

• 🔒
• 🔒

CVSSv4info

CVSSv3info

CVSSv2info

Exploitinginfo

Threat Intelligenceinfo

Gegenmassnahmeninfo

Timelineinfo

Quelleninfo

Eintraginfo

Diskussion