nginx 安全公告

所有 nginx 安全问题应报告给 F5SIRT@f5.com 或通过此处列出的方法之一报告。

补丁使用其中一个PGP 公钥签名。

• SSL 会话重用漏洞
  严重性：中等
  公告
  CVE-2025-23419
  不受影响：1.27.4+、1.26.3+
  受影响：1.11.4-1.27.3

• ngx_http_mp4_module 中的缓冲区过读
  严重性：低
  公告
  CVE-2024-7347
  不受影响：1.27.1+、1.26.2+
  受影响：1.5.13-1.27.0
  补丁  pgp

• HTTP/3 中的缓冲区覆盖
  严重性：中等
  公告
  CVE-2024-32760
  不受影响：1.27.0+、1.26.1+
  受影响：1.25.0-1.25.5、1.26.0

• HTTP/3 中的栈溢出和释放后使用
  严重性：中等
  公告
  CVE-2024-31079
  不受影响：1.27.0+、1.26.1+
  受影响：1.25.0-1.25.5、1.26.0

• HTTP/3 中的 NULL 指针解引用
  严重性：中等
  公告
  CVE-2024-35200
  不受影响：1.27.0+、1.26.1+
  受影响：1.25.0-1.25.5、1.26.0

• HTTP/3 中的内存泄露
  严重性：中等
  公告
  CVE-2024-34161
  不受影响：1.27.0+、1.26.1+
  受影响：1.25.0-1.25.5、1.26.0

• HTTP/3 中的 NULL 指针解引用
  严重性：重大
  公告
  CVE-2024-24989
  不受影响：1.25.4+
  受影响：1.25.3

• HTTP/3 中的释放后使用
  严重性：重大
  公告
  CVE-2024-24990
  不受影响：1.25.4+
  受影响：1.25.0-1.25.3

• ngx_http_mp4_module 中的内存损坏
  严重性：中等
  公告
  CVE-2022-41741
  不受影响：1.23.2+、1.22.1+
  受影响：1.1.3-1.23.1、1.0.7-1.0.15
  补丁  pgp

• ngx_http_mp4_module 中的内存泄露
  严重性：中等
  公告
  CVE-2022-41742
  不受影响：1.23.2+、1.22.1+
  受影响：1.1.3-1.23.1、1.0.7-1.0.15
  补丁  pgp

• resolver 中的 1 字节内存覆盖
  严重性：中等
  公告
  CVE-2021-23017
  不受影响：1.21.0+、1.20.1+
  受影响：0.6.18-1.20.0
  补丁  pgp

• HTTP/2 中带有小窗口更新的过度 CPU 使用
  严重性：中等
  公告
  CVE-2019-9511
  不受影响：1.17.3+、1.16.1+
  受影响：1.9.5-1.17.2

• HTTP/2 中带有优先级更改的过度 CPU 使用
  严重性：低
  公告
  CVE-2019-9513
  不受影响：1.17.3+、1.16.1+
  受影响：1.9.5-1.17.2

• HTTP/2 中带有零长度头的过度内存使用
  严重性：低
  公告
  CVE-2019-9516
  不受影响：1.17.3+、1.16.1+
  受影响：1.9.5-1.17.2

• HTTP/2 中的过度内存使用
  严重性：低
  公告
  CVE-2018-16843
  不受影响：1.15.6+、1.14.1+
  受影响：1.9.5-1.15.5

• HTTP/2 中的过度 CPU 使用
  严重性：低
  公告
  CVE-2018-16844
  不受影响：1.15.6+、1.14.1+
  受影响：1.9.5-1.15.5

• ngx_http_mp4_module 中的内存泄露
  严重性：中等
  公告
  CVE-2018-16845
  不受影响：1.15.6+、1.14.1+
  受影响：1.1.3-1.15.5、1.0.7-1.0.15
  补丁  pgp

• range filter 中的整数溢出
  严重性：中等
  公告
  CVE-2017-7529
  不受影响：1.13.3+、1.12.1+
  受影响：0.5.6-1.13.2
  补丁  pgp

• 写入客户端请求体时的 NULL 指针解引用
  严重性：中等
  公告
  CVE-2016-4450
  不受影响：1.11.1+、1.10.1+
  受影响：1.3.9-1.11.0
  补丁  pgp  （适用于 1.9.13-1.11.0）
  补丁  pgp  （适用于 1.3.9-1.9.12）

• resolver 中的无效指针解引用
  严重性：中等
  公告
  CVE-2016-0742
  不受影响：1.9.10+、1.8.1+
  受影响：0.6.18-1.9.9

• resolver 在 CNAME 响应处理期间的释放后使用
  严重性：中等
  公告
  CVE-2016-0746
  不受影响：1.9.10+、1.8.1+
  受影响：0.6.18-1.9.9

• resolver 中 CNAME 解析的限制不足
  严重性：中等
  公告
  CVE-2016-0747
  不受影响：1.9.10+、1.8.1+
  受影响：0.6.18-1.9.9

• SSL 会话重用漏洞
  严重性：中等
  公告
  CVE-2014-3616
  不受影响：1.7.5+、1.6.2+
  受影响：0.5.6-1.7.4

• STARTTLS 命令注入
  严重性：中等
  公告
  CVE-2014-3556
  不受影响：1.7.4+、1.6.1+
  受影响：1.5.6-1.7.3
  补丁  pgp

• SPDY 堆缓冲区溢出
  严重性：重大
  公告
  CVE-2014-0133
  不受影响：1.5.12+、1.4.7+
  受影响：1.3.15-1.5.11
  补丁  pgp

• SPDY 内存损坏
  严重性：重大
  公告
  CVE-2014-0088
  不受影响：1.5.11+
  受影响：1.5.10
  补丁  pgp

• 请求行解析漏洞
  严重性：中等
  公告
  CVE-2013-4547
  不受影响：1.5.7+、1.4.4+
  受影响：0.8.41-1.5.6
  补丁  pgp

• 使用特制 HTTP 后端响应时的内存泄露
  严重性：中等
  公告
  CVE-2013-2070
  不受影响：1.5.0+、1.4.1+、1.2.9+
  受影响：1.1.4-1.2.8、1.3.9-1.4.0
  补丁  pgp  （适用于 1.3.9-1.4.0）
  补丁  pgp  （适用于 1.1.4-1.2.8）

• 使用特制请求时的基于栈的缓冲区溢出
  严重性：重大
  公告
  CVE-2013-2028
  不受影响：1.5.0+、1.4.1+
  受影响：1.3.9-1.4.0
  补丁  pgp

• Windows 目录别名漏洞
  严重性：中等
  公告
  CVE-2011-4963
  不受影响：1.3.1+、1.2.1+
  受影响：nginx/Windows 0.7.52-1.3.0

• ngx_http_mp4_module 中的缓冲区溢出
  严重性：重大
  公告
  CVE-2012-2089
  不受影响：1.1.19+、1.0.15+
  受影响：1.1.3-1.1.18、1.0.7-1.0.14
  补丁  pgp

• 使用特制后端响应时的内存泄露
  严重性：重大
  公告
  CVE-2012-1180
  不受影响：1.1.17+、1.0.14+
  受影响：0.1.0-1.1.16
  补丁  pgp

• resolver 中的缓冲区溢出
  严重性：中等
  CVE-2011-4315
  不受影响：1.1.8+、1.0.10+
  受影响：0.6.18-1.1.7

• Windows 上使用无效 UTF-8 序列时的漏洞
  严重性：重大
  CVE-2010-2266
  不受影响：0.8.41+、0.7.67+
  受影响：nginx/Windows 0.7.52-0.8.40

• Windows 文件默认流漏洞
  严重性：重大
  CVE-2010-2263
  不受影响：0.8.40+、0.7.66+
  受影响：nginx/Windows 0.7.52-0.8.39

• Windows 8.3 文件名伪名漏洞
  严重性：重大
  CORE-2010-0121
  不受影响：0.8.33+、0.7.65+
  受影响：nginx/Windows 0.7.52-0.8.32

• 错误日志数据未清理
  严重性：无
  CVE-2009-4487
  不受影响：无
  受影响：所有

• SSL 协议中的重新协商漏洞
  严重性：重大
  VU#120541  CVE-2009-3555
  不受影响：0.8.23+、0.7.64+
  受影响：0.1.0-0.8.22
  补丁  pgp

• 目录遍历漏洞
  严重性：次要
  CVE-2009-3898
  不受影响：0.8.17+、0.7.63+
  受影响：0.1.0-0.8.16

• 缓冲区下溢漏洞
  严重性：重大
  VU#180065  CVE-2009-2629
  不受影响：0.8.15+、0.7.62+、0.6.39+、0.5.38+
  受影响：0.1.0-0.8.14
  补丁  pgp

• NULL 指针解引用漏洞
  严重性：重大
  CVE-2009-3896
  不受影响：0.8.14+、0.7.62+、0.6.39+、0.5.38+
  受影响：0.1.0-0.8.13
  补丁  pgp