Описание
NGINX JavaScript (njs) имеет уязвимость в анализаторе списка префиксов пространства имен модуля XML, доступную через метод xml.exclusiveC14n(). Удаленный злоумышленник, не прошедший проверку подлинности, может вызвать его, когда затронутая конфигурация NGINX передает этому методу управляемый извне список префиксов пространства имен XML. Затронуты как движки njs, так и QuickJS (qjs).
Созданный список префиксов вызывает запись за пределами кучи за пределами выделения кучи. При использовании движка njs, который используется при отсутствии директивы js_engine, это повреждает соседние объекты и приводит к сбою рабочего процесса NGINX. При использовании механизма QuickJS тот же вызов дополнительно приводит к утечке списка префиксов при каждом вызове, что приводит к увеличению рабочей памяти между запросами.
Официальная эталонная реализация nginxinc/nginx-saml затрагивается при проверке подписи SAML. Он считывает InclusiveNamespaces/@PrefixList из ненадежного сообщения SAML и передает его в xml.exclusiveC14n() до проверки подписи, поэтому действительная подпись SAML не требуется. Достаточно созданного SAML-ответа, утверждения, LogoutRequest или LogoutResponse.
Выполнение кода не было продемонстрировано и не может быть исключено для всех платформ, поскольку эффект записи за пределами границ зависит от условий, находящихся вне контроля злоумышленника. Воздействие
Эта уязвимость позволяет удаленным злоумышленникам вызвать отказ в обслуживании в системе NGINX либо посредством повторяющихся перезапусков рабочих процессов, либо за счет увеличения рабочей памяти, либо, возможно, запуская выполнение кода. Нет воздействия плоскости управления; это проблема только плоскости данных.
Примечание. Версии программного обеспечения, для которых завершена техническая поддержка (EoTS), не оцениваются.
Показать оригинальное описание (EN)
Description NGINX JavaScript (njs) has a vulnerability in the XML module's namespace prefix list parser, reachable through the xml.exclusiveC14n() method. An unauthenticated remote attacker can trigger it when an affected NGINX configuration passes an externally controlled XML namespace prefix list to that method. Both the njs and the QuickJS (qjs) engines are affected. A crafted prefix list causes an out-of-bounds write past the end of a heap allocation. With the njs engine, which is the engine used when the js_engine directive is absent, this corrupts adjacent objects and crashes the NGINX worker. With the QuickJS engine, the same call additionally leaks the prefix list on every invocation, causing worker memory to grow across requests. The official nginxinc/nginx-saml reference implementation is affected during SAML signature verification. It reads InclusiveNamespaces/@PrefixList from an untrusted SAML message and passes it to xml.exclusiveC14n() before the signature has been verified, so a valid SAML signature is not required. A crafted SAML Response, Assertion, LogoutRequest, or LogoutResponse is sufficient. Code execution has not been demonstrated and cannot be ruled out for all platforms, as the effect of the out-of-bounds write depends on conditions beyond the attacker's control. Impact This vulnerability allows remote attackers to cause a denial of service on the NGINX system, either through repeatable worker restarts or through worker memory growth or possibly trigger code execution. There is no control plane exposure; this is a data plane issue only. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
Характеристики атаки
Последствия
Строка CVSS v4.0