openSUSEセキュリティ更新プログラム：nginx（openSUSE-2019-195）
medium Nessus プラグイン ID 122295
Language:
概要
リモートのopenSUSEホストに、セキュリティ更新プログラムがありません。説明
このnginxの更新では、次の問題を修正します：nginxが1.14.2に更新します ：
- バグ修正：nginxがFedora 28 Linuxで構築されない可能性があります。
- バグ修正：Linux上でunixドメインリッスンソケットを使用してデータグラムを処理する際の、クライアントアドレスの処理。
- 変更：「httpリクエスト」、「httpsプロキシリクエスト」、「未サポートプロトコル」、「バージョンが低すぎます」、「適切なキー共有がありません」、「適切な署名アルゴリズムがありません」というSSLエラーのログレベルが「crit」から「info」に下げられました。
- バグ修正：OpenSSL 1.1.0またはそれ以降を使用する際に、「ssl_prefer_server_ciphers」がデフォルトサーバーでオンになっている場合に仮想サーバーでオフに切り替えることができませんでした。
- バグ修正：nginxをLibreSSL 2.8.0で構築できませんでした。
- バグ修正：nginxがOpenSSL 1.1.0で構築され、OpenSSL 1.1.1で使用される場合、TLS 1.3プロトコルは常に有効になっていました。
- バグ修正：ディスクバッファ済みリクエスト本文のgRPCバックエンドへの送信が失敗します。
- バグ修正：「キープアライブ」ディレクティブを使用する際、一部のgRPCバックエンドの接続がキャッシュされません。
- バグ修正：ngx_http_mp4_moduleを32ビットプラットフォームで使用した場合に、ワーカープロセスでセグメンテーション違反が発生する可能性があります。
nginx 1.14.1に関する変更：
- セキュリティ：HTTP/2を使用しているクライアントが過剰なメモリ消費（CVE-2018-16843）とCPU使用率（CVE-2018-16844）を引き起こす可能性があります。
- セキュリティ：ngx_http_mp4_moduleで特別に細工されたmp4ファイルを処理する際、ワーカープロセスメモリの漏洩の可能性があります（CVE-2018-16845）。
- バグ修正：gRPCバックエンドでの作業によりメモリ消費が過剰になる可能性があります。
nginx 1.13.12に関する変更：
- バグ修正：gRPCバックエンドとの接続が、大きな応答を返す際に予期せず切断されることがあります。
nginx 1.13.10に関する変更
- 機能：「include」SSIディレクティブの「set」パラメーターが、変数への任意の応答の書き込みを許可するようになりました。 「subrequest_output_buffer_size」ディレクティブは最大応答サイズを定義します。
- 機能：現在は、nginxは可能であればclock_gettime(CLOCK_MONOTONIC)を使用し、システム時間の変更時にタイムアウトの不適切なトリガーを回避します。
- 機能：「log_format」ディレクティブの「escape = none」パラメーター。Johannes Baiter氏およびCalin Don氏に感謝の意を表します。
- 機能：ngx_stream_ssl_preread_moduleの$ssl_preread_alpn_protocols変数。
- 機能：ngx_http_grpc_module。
- バグ修正：「geo」ディレクティブのメモリ割り当てエラーの処理。
- バグ修正：「auth_basic_user_file」ディレクティブで変数を使用すると、ログにNULL文字が表示されることがあります。Vadim Filimonov氏に感謝の意を表します。
ソリューション
影響を受けるnginxパッケージを更新してください。参考資料
https://bugzilla.opensuse.org/show_bug.cgi?id=1115015
プラグインの詳細
深刻度: Medium
ID: 122295
ファイル名: openSUSE-2019-195.nasl
バージョン: 1.5
タイプ: local
エージェント: unix
ファミリー: SuSE Local Security Checks
公開日: 2019/2/19
更新日: 2021/1/19
サポートされているセンサー: Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.2
CVSS v2
リスクファクター: Medium
基本値: 5.8
現状値: 4.3
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:P/I:N/A:P
CVSS スコアのソース: CVE-2018-16845
CVSS v3
リスクファクター: Medium
基本値: 6.1
現状値: 5.3
ベクトル: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:novell:opensuse:nginx-debugsource, p-cpe:/a:novell:opensuse:vim-plugin-nginx, p-cpe:/a:novell:opensuse:nginx-debuginfo, cpe:/o:novell:opensuse:15.0, p-cpe:/a:novell:opensuse:nginx
必要な KB アイテム: Host/local_checks_enabled, Host/SuSE/release, Host/SuSE/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2019/3/23
脆弱性公開日: 2018/11/7