Уязвимости nginx: CVE, БДУ ФСТЭК и мониторинг
Уязвимости nginx из реестра БДУ ФСТЭК: 159 записей. CVE, CVSS-оценки и сроки устранения по приказу ФСТЭК №117.
Уязвимости nginx из БДУ ФСТЭК
Показаны уязвимости с подтверждённой эксплуатацией (KEV, EPSS ≥ 10%, exploit). Всего в БДУ: 159.
Уязвимость реализации протокола HTTP/2, связанная с возможностью формирования потока запросов в рамках уже установленного сетевого соединения, без открытия новых сетевых соединений и без подтверждения
Уязвимость контроллера входящего трафика в кластере Kubernetes ingress-nginx, связанная с недостаточным пространственным разделением, позволяющая нарушителю выполнить произвольный код
Уязвимость контроллера входящего трафика в кластере Kubernetes ingress-nginx, связанная с ошибками при обработке аннотаций Ingress-объектов, позволяющая нарушителю выполнить произвольный код
Уязвимость прокси-сервера nginx, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость прокси-менеджера управления хостами Nginx Proxy Manager, существующая из-за непринятия мер по защите структуры веб-страницы, позволяющая нарушителю оказать воздействие на конфиденциальность
Уязвимость модуля ngx_http_rewrite_module веб-серверов NGINX Plus и NGINX Open Source, позволяющая нарушителю выполнить произвольный код
Уязвимость модуля фильтра диапазона nginx HTTP-сервера nginx, позволяющая нарушителю раскрыть защищаемую информацию
Уязвимость реализации сетевого протокола HTTP/2 операционных систем Windows, сервера nginx, программной платформы Node.js, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость реализации сетевого протокола HTTP/2 сервера nginx, программной платформы Node.js, сетевого программного средства SwiftNIO, связанная с неконтролируемым расходом ресурсов, позволяющая наруш
Уязвимость компонента nginx.ingress.kubernetes.io/permanent-redirect контроллера входящего трафика в кластере Kubernetes ingress-nginx, позволяющая нарушителю выполнить произвольные команды
Почему важно отслеживать уязвимости nginx
nginx — самый популярный веб-сервер и реверс-прокси, через который проходит трафик большинства российских веб-приложений. Уязвимости nginx особенно опасны: веб-сервер обычно доступен из интернета и обрабатывает все входящие HTTP-запросы. Типовые CVE: HTTP Request Smuggling, переполнение буфера при обработке заголовков, обход ограничений через некорректную обработку URI. F5 (владелец nginx) публикует Security Advisories, но многие организации используют открытую версию без коммерческой поддержки — и узнают об уязвимостях только из CVE-баз. Мониторинг БДУ ФСТЭК для nginx — минимальная мера защиты периметра.
Сроки устранения по приказу ФСТЭК №117
Приказ ФСТЭК № 117 (п. 38) задаёт сроки устранения уязвимостей по уровню опасности: критические — не более 24 часов, высокие — не более 7 календарных дней. Для средних и низких сроки определяет внутренний регламент по защите информации. Вместо устранения допускаются компенсирующие меры. Методика оценки КЗИ ФСТЭК добавляет контроль критических уязвимостей: на узлах, доступных из интернета, обновление не должно ждать установки больше 30 дней с публикации, на рабочих станциях и серверах — больше 90 дней.
CVSS 9.0–10.0
24 часа
CVSS 7.0–8.9
7 дней
CVSS 4.0–6.9
По регламенту
CVSS 0.1–3.9
По регламенту
Полезные ресурсы
Автоматизируйте мониторинг уязвимостей nginx
SGRC-платформа КиберОснова: загрузка БДУ ФСТЭК по расписанию (периодичность задаёт администратор), задачи ИБ с ответственным и сроком, уведомления.
