9VSA20-00121-01 CSIRT comparte actualizaciones de Nginx

Resumen

El Equipo de Respuesta ante Incidentes de Seguridad Informática, CSIRT, comparte información obtenida de Nginx, referente a una vulnerabilidad que afecta a su servidor web/proxy/mail, la cual de ser explotada permitiría a un atacante remoto obtener acceso a páginas web no autorizadas. Este informe incluye la respectiva mitigación.

Vulnerabilidad

CVE-2019-20372

Impacto

Ciertas configuraciones en error_page permitirían a un atacante leer páginas web no autorizadas en entornos en los que Nginx está frente al balanceador de carga, esto debido a que el servidor no maneja bien las peticiones HTTP, permitiendo una vulnerabilidad de tipo “HTTP request Smuggling”.

Productos Afectados

Todas las versiones de Nginx desde la 1.17.0 hasta la 1.17.6.

Mitigación

Se debe actualizar a la versión 1.17.7 de Nginx.

Enlaces

http://nginx.org/en/CHANGES

https://www.cybersecurity-help.cz/vdb/SB2020011323

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-20372

Informe

El informe oficial publicado por el CSIRT del Gobierno de Chile está disponible en el siguiente enlace: 9VSA20-00121-01