nginx 安全公告

所有 nginx 安全問題應報告至 F5SIRT@f5.com，或透過此處列出的方法之一回報。

修補程式使用其中一個 PGP 公開金鑰簽署。

• ngx_http_mp4_module 中的緩衝區過度讀取
  嚴重性：低
  公告
  CVE-2024-7347
  不受影響：1.27.1+、1.26.2+
  受影響：1.5.13-1.27.0
  修補程式  pgp

• HTTP/3 中的緩衝區覆寫
  嚴重性：中
  公告
  CVE-2024-32760
  不受影響：1.27.0+、1.26.1+
  受影響：1.25.0-1.25.5、1.26.0

• HTTP/3 中的堆疊溢位和釋放後使用
  嚴重性：中
  公告
  CVE-2024-31079
  不受影響：1.27.0+、1.26.1+
  受影響：1.25.0-1.25.5、1.26.0

• HTTP/3 中的 NULL 指標反參考
  嚴重性：中
  公告
  CVE-2024-35200
  不受影響：1.27.0+、1.26.1+
  受影響：1.25.0-1.25.5、1.26.0

• HTTP/3 中的記憶體洩漏
  嚴重性：中
  公告
  CVE-2024-34161
  不受影響：1.27.0+、1.26.1+
  受影響：1.25.0-1.25.5、1.26.0

• HTTP/3 中的 NULL 指標反參考
  嚴重性：重大
  公告
  CVE-2024-24989
  不受影響：1.25.4+
  受影響：1.25.3

• HTTP/3 中的釋放後使用
  嚴重性：重大
  公告
  CVE-2024-24990
  不受影響：1.25.4+
  受影響：1.25.0-1.25.3

• ngx_http_mp4_module 中的記憶體損壞
  嚴重性：中
  公告
  CVE-2022-41741
  不受影響：1.23.2+、1.22.1+
  受影響：1.1.3-1.23.1、1.0.7-1.0.15
  修補程式  pgp

• ngx_http_mp4_module 中的記憶體洩漏
  嚴重性：中
  公告
  CVE-2022-41742
  不受影響：1.23.2+、1.22.1+
  受影響：1.1.3-1.23.1、1.0.7-1.0.15
  修補程式  pgp

• 解析器中的 1 位元組記憶體覆寫
  嚴重性：中
  公告
  CVE-2021-23017
  不受影響：1.21.0+、1.20.1+
  受影響：0.6.18-1.20.0
  修補程式  pgp

• HTTP/2 中使用小型視窗更新時的 CPU 使用率過高
  嚴重性：中
  公告
  CVE-2019-9511
  不受影響：1.17.3+、1.16.1+
  受影響：1.9.5-1.17.2

• HTTP/2 中使用優先權變更時的 CPU 使用率過高
  嚴重性：低
  公告
  CVE-2019-9513
  不受影響：1.17.3+、1.16.1+
  受影響：1.9.5-1.17.2

• HTTP/2 中使用零長度標頭時的記憶體使用率過高
  嚴重性：低
  公告
  CVE-2019-9516
  不受影響：1.17.3+、1.16.1+
  受影響：1.9.5-1.17.2

• HTTP/2 中的記憶體使用率過高
  嚴重性：低
  公告
  CVE-2018-16843
  不受影響：1.15.6+、1.14.1+
  受影響：1.9.5-1.15.5

• HTTP/2 中的 CPU 使用率過高
  嚴重性：低
  公告
  CVE-2018-16844
  不受影響：1.15.6+、1.14.1+
  受影響：1.9.5-1.15.5

• ngx_http_mp4_module 中的記憶體洩漏
  嚴重性：中
  公告
  CVE-2018-16845
  不受影響：1.15.6+、1.14.1+
  受影響：1.1.3-1.15.5、1.0.7-1.0.15
  修補程式  pgp

• 範圍篩選器中的整數溢位
  嚴重性：中
  公告
  CVE-2017-7529
  不受影響：1.13.3+、1.12.1+
  受影響：0.5.6-1.13.2
  修補程式  pgp

• 寫入用戶端請求主體時的 NULL 指標反參考
  嚴重性：中
  公告
  CVE-2016-4450
  不受影響：1.11.1+、1.10.1+
  受影響：1.3.9-1.11.0
  修補程式  pgp  （適用於 1.9.13-1.11.0）
  修補程式  pgp  （適用於 1.3.9-1.9.12）

• 解析器中的無效指標反參考
  嚴重性：中
  公告
  CVE-2016-0742
  不受影響：1.9.10+、1.8.1+
  受影響：0.6.18-1.9.9

• 解析器中處理 CNAME 回應期間的釋放後使用
  嚴重性：中
  公告
  CVE-2016-0746
  不受影響：1.9.10+、1.8.1+
  受影響：0.6.18-1.9.9

• 解析器中 CNAME 解析的限制不足
  嚴重性：中
  公告
  CVE-2016-0747
  不受影響：1.9.10+、1.8.1+
  受影響：0.6.18-1.9.9

• SSL 工作階段重用漏洞
  嚴重性：中
  公告
  CVE-2014-3616
  不受影響：1.7.5+、1.6.2+
  受影響：0.5.6-1.7.4

• STARTTLS 命令注入
  嚴重性：中
  公告
  CVE-2014-3556
  不受影響：1.7.4+、1.6.1+
  受影響：1.5.6-1.7.3
  修補程式  pgp

• SPDY 堆積緩衝區溢位
  嚴重性：重大
  公告
  CVE-2014-0133
  不受影響：1.5.12+、1.4.7+
  受影響：1.3.15-1.5.11
  修補程式  pgp

• SPDY 記憶體損壞
  嚴重性：重大
  公告
  CVE-2014-0088
  不受影響：1.5.11+
  受影響：1.5.10
  修補程式  pgp

• 請求行剖析漏洞
  嚴重性：中
  公告
  CVE-2013-4547
  不受影響：1.5.7+、1.4.4+
  受影響：0.8.41-1.5.6
  修補程式  pgp

• 使用特別製作的 HTTP 後端回應的記憶體洩漏
  嚴重性：中
  公告
  CVE-2013-2070
  不受影響：1.5.0+、1.4.1+、1.2.9+
  受影響：1.1.4-1.2.8、1.3.9-1.4.0
  修補程式  pgp  （適用於 1.3.9-1.4.0）
  修補程式  pgp  （適用於 1.1.4-1.2.8）

• 使用特別製作的請求的堆疊式緩衝區溢位
  嚴重性：重大
  公告
  CVE-2013-2028
  不受影響：1.5.0+、1.4.1+
  受影響：1.3.9-1.4.0
  修補程式  pgp

• Windows 目錄別名的漏洞
  嚴重性：中
  公告
  CVE-2011-4963
  不受影響：1.3.1+、1.2.1+
  受影響：nginx/Windows 0.7.52-1.3.0

• ngx_http_mp4_module 中的緩衝區溢位
  嚴重性：重大
  公告
  CVE-2012-2089
  不受影響：1.1.19+、1.0.15+
  受影響：1.1.3-1.1.18、1.0.7-1.0.14
  修補程式  pgp

• 使用特別製作的後端回應的記憶體洩漏
  嚴重性：重大
  公告
  CVE-2012-1180
  不受影響：1.1.17+、1.0.14+
  受影響：0.1.0-1.1.16
  修補程式  pgp

• 解析器中的緩衝區溢位
  嚴重性：中
  CVE-2011-4315
  不受影響：1.1.8+、1.0.10+
  受影響：0.6.18-1.1.7

• Windows 上無效 UTF-8 序列的漏洞
  嚴重性：重大
  CVE-2010-2266
  不受影響：0.8.41+、0.7.67+
  受影響：nginx/Windows 0.7.52-0.8.40

• Windows 檔案預設串流的漏洞
  嚴重性：重大
  CVE-2010-2263
  不受影響：0.8.40+、0.7.66+
  受影響：nginx/Windows 0.7.52-0.8.39

• Windows 8.3 檔案名稱假名的漏洞
  嚴重性：重大
  CORE-2010-0121
  不受影響：0.8.33+、0.7.65+
  受影響：nginx/Windows 0.7.52-0.8.32

• 錯誤記錄資料未經清理
  嚴重性：無
  CVE-2009-4487
  不受影響：無
  受影響：全部

• SSL 通訊協定中的重新協商漏洞
  嚴重性：重大
  VU#120541  CVE-2009-3555
  不受影響：0.8.23+、0.7.64+
  受影響：0.1.0-0.8.22
  修補程式  pgp

• 目錄遍歷漏洞
  嚴重性：輕微
  CVE-2009-3898
  不受影響：0.8.17+、0.7.63+
  受影響：0.1.0-0.8.16

• 緩衝區下溢漏洞
  嚴重性：重大
  VU#180065  CVE-2009-2629
  不受影響：0.8.15+、0.7.62+、0.6.39+、0.5.38+
  受影響：0.1.0-0.8.14
  修補程式  pgp

• NULL 指標反參考漏洞
  嚴重性：重大
  CVE-2009-3896
  不受影響：0.8.14+、0.7.62+、0.6.39+、0.5.38+
  受影響：0.1.0-0.8.13
  修補程式  pgp