したがって、ALAS2023-2024-707 のアドバイザリに記載されている脆弱性の影響を受けます。

    NGINX Open Source および NGINX Plus では、ngx_http_mp4_module に脆弱性があり、特別に細工された mp4 ファイルを使用して、攻撃者が NGINX ワーカーメモリをオーバーリードさせ、終了させる可能性があります。この問題は、ngx_http_mp4_module を使用して構築され、「mp4」ディレクティブが設定ファイルで使用されている場合にのみ、NGINX に影響を与えます。さらに、攻撃者が ngx_http_mp4_module を使用して特別に細工した mp4 ファイルの処理をトリガーできる場合にのみ、攻撃が可能です。注: テクニカルサポートの終了 (EoTS) に達したソフトウェアのバージョンは評価されていません。(CVE-2024-7347)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023: nginx、nginx-all-modules、nginx-core (ALAS2023-2024-707)

medium Nessus プラグイン ID 206808

バージョン 1.2

バージョン 1.1

バージョン 1.2 Sep 18, 2024, 8:52 AM CVSS metrics ("Cvssv4 threat vector" set to "CVSS:4.0/E:U") Plugin Feed: 202409180852
バージョン 1.1 Sep 10, 2024, 3:10 AM New Plugin Feed: 202409100310