NGINX: Schwachstelle ermöglicht Denial of Service
WID-SEC-2022-0463 · première publication 26.05.2021 · mise à jour 15.07.2026 · CVSS 7,5
De quoi il s’agit
NGINX ist eine Webserver-, Reverse Proxy- und E-Mail-Proxy Software. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in NGINX ausnutzen, um einen Denial of Service Angriff durchzuführen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- einen Denial of Service Angriff durchzuführen
Suis-je concerné ?
Concernés selon le BSI :
- Debian Linux
- Amazon Linux 2
- Red Hat Enterprise Linux
- Ubuntu Linux
- SUSE Linux
- Oracle Linux
- Gentoo Linux
- Open Source Arch Linux
- Avaya Aura Communication Manager
- Avaya Aura Session Manager
- Avaya Aura Application Enablement Services
- Avaya Aura System Manager
et 6 autres
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- NGINX NGINX 1.21.0
- Broadcom Brocade SANnav v2.2.0.2
- Broadcom Brocade SANnav 2.2.1
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- [nginx-announce] nginx-1.21.0 vom 2021-05-25 mailman.nginx.org
- Ubuntu Security Notice USN-4967-1 vom 2021-05-26 ubuntu.com
- Gentoo Linux Security Advisory GLSA-202105-38 vom 2021-05-26 security.gentoo.org
- SUSE Security Update SUSE-SU-2021:1792-1 vom 2021-05-27 lists.suse.com
- Ubuntu Security Notice USN-4967-2 vom 2021-05-27 ubuntu.com
- Debian Security Advisory DSA-4921 vom 2021-05-28 www.debian.org
- Debian Security Advisory DLA-2670 vom 2021-05-30 lists.debian.org
- SUSE Security Update SUSE-SU-2021:1815-1 vom 2021-05-31 lists.suse.com
- SUSE Security Update SUSE-SU-2021:1839-1 vom 2021-06-02 lists.suse.com
- Amazon Linux Security Advisory ALAS-2021-1507 vom 2021-06-02 alas.aws.amazon.com
- Red Hat Security Advisory RHSA-2021:2258 vom 2021-06-07 access.redhat.com
- Red Hat Security Advisory RHSA-2021:2278 vom 2021-06-07 access.redhat.com
- Red Hat Security Advisory RHSA-2021:2259 vom 2021-06-07 access.redhat.com
- Red Hat Security Advisory RHSA-2021:2290 vom 2021-06-08 access.redhat.com
- Oracle Linux Security Advisory ELSA-2021-2259 vom 2021-06-08 linux.oracle.com
- Oracle Linux Security Advisory ELSA-2021-2290 vom 2021-06-10 linux.oracle.com
- AVAYA Security Advisory ASA-2021-078 vom 2021-06-10 downloads.avaya.com
- Arch Linux Security Advisory ASA-202106-36 vom 2021-06-15 security.archlinux.org
- Arch Linux Security Advisory ASA-202106-48 vom 2021-06-22 security.archlinux.org
- Exploit CVE-2021-23017 vom 2021-08-30 github.com
- Red Hat Security Advisory RHSA-2021:3653 vom 2021-09-23 access.redhat.com
- Red Hat Security Advisory RHSA-2021:3873 vom 2021-10-15 access.redhat.com
- Red Hat Security Advisory RHSA-2021:3925 vom 2021-10-20 access.redhat.com
- Red Hat Security Advisory RHSA-2021:4618 vom 2021-11-11 access.redhat.com
- Red Hat Security Advisory RHSA-2022:0323 vom 2022-01-31 access.redhat.com
et 11 autres sources dans l’avis original
CVE: CVE-2021-23017
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.