Résumé
généré automatiquement à partir des données NVDUne vulnérabilité dans le module ngx_http_mp4_module de NGINX Open Source, NGINX Plus et NGINX Open Source Subscription (CWE-787) permet à un attaquant local, via un fichier audio ou vidéo spécialement conçu, de provoquer le plantage d'un processus worker ou une divulgation de mémoire de ce processus. Elle ne concerne que les builds incluant ce module avec la directive mp4 activée dans la configuration. Score CVSS v3.1 : 7.1, sévérité élevée.
Description NVD (anglais)
NGINX Open Source before versions 1.23.2 and 1.22.1, NGINX Open Source Subscription before versions R2 P1 and R1 P1, and NGINX Plus before versions R27 P1 and R26 P1 have a vulnerability in the module ngx_http_mp4_module that might allow a local attacker to cause a worker process crash, or might result in worker process memory disclosure by using a specially crafted audio or video file. The issue affects only NGINX products that are built with the module ngx_http_mp4_module, when the mp4 directive is used in the configuration file. Further, the attack is possible only if an attacker can trigger processing of a specially crafted audio or video file with the module ngx_http_mp4_module.
EPSS · FIRST.org
1,2 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 67 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 19 oct. 2026, recalculé chaque jour par FIRST.org.
Score CVSS v3.1
Informations
- Publié
- 19 oct. 2022
- Mis à jour
- 17 juin 2026
- Statut
- Modified
- Source
- f5sirt@f5.com
Produits affectés
Faiblesses (CWE)
Références (14)
- https://lists.debian.org/debian-lts-announce/2022/11/msg00031.htmlMailing ListThird Party Advisory
- https://security.netapp.com/advisory/ntap-20230120-0005/Third Party Advisory
- https://support.f5.com/csp/article/K28112382MitigationVendor Advisory
- https://www.debian.org/security/2022/dsa-5281Third Party Advisory
- https://lists.debian.org/debian-lts-announce/2022/11/msg00031.htmlMailing ListThird Party Advisory
- https://security.netapp.com/advisory/ntap-20230120-0005/Third Party Advisory
- https://support.f5.com/csp/article/K28112382MitigationVendor Advisory
- https://www.debian.org/security/2022/dsa-5281Third Party Advisory
CVEs similaires
Autres vulnérabilités de type CWE-787
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.