Résumé
généré automatiquement à partir des données NVDNGINX Open Source, NGINX Open Source Subscription et NGINX Plus présentent une faille d'écriture hors limites (CWE-787) dans le module ngx_http_mp4_module. Un attaquant local pouvant faire traiter un fichier audio ou vidéo spécialement conçu peut corrompre la mémoire du worker NGINX, entraînant son arrêt ou d'autres effets potentiels. Seuls les produits compilés avec ce module et utilisant la directive mp4 sont concernés ; le score CVSS v3.1 est de 7.0 (HIGH).
Description NVD (anglais)
NGINX Open Source before versions 1.23.2 and 1.22.1, NGINX Open Source Subscription before versions R2 P1 and R1 P1, and NGINX Plus before versions R27 P1 and R26 P1 have a vulnerability in the module ngx_http_mp4_module that might allow a local attacker to corrupt NGINX worker memory, resulting in its termination or potential other impact using a specially crafted audio or video file. The issue affects only NGINX products that are built with the ngx_http_mp4_module, when the mp4 directive is used in the configuration file. Further, the attack is possible only if an attacker can trigger processing of a specially crafted audio or video file with the module ngx_http_mp4_module.
EPSS · FIRST.org
0,81 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 56 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 16 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 19 oct. 2022
- Mis à jour
- 17 juin 2026
- Statut
- Modified
- Source
- f5sirt@f5.com
Produits affectés
Faiblesses (CWE)
Références (14)
- https://lists.debian.org/debian-lts-announce/2022/11/msg00031.htmlMailing ListThird Party Advisory
- https://security.netapp.com/advisory/ntap-20230120-0005/Third Party Advisory
- https://support.f5.com/csp/article/K81926432MitigationVendor Advisory
- https://www.debian.org/security/2022/dsa-5281Third Party Advisory
- https://lists.debian.org/debian-lts-announce/2022/11/msg00031.htmlMailing ListThird Party Advisory
- https://security.netapp.com/advisory/ntap-20230120-0005/Third Party Advisory
- https://support.f5.com/csp/article/K81926432MitigationVendor Advisory
- https://www.debian.org/security/2022/dsa-5281Third Party Advisory
CVEs similaires
Autres vulnérabilités de type CWE-787
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.