CVE-2022-41743

Versões do NGINX Plus anteriores à R27 P1 e à R26 P1

O problema está relacionado a um estouro de buffer no módulo ngx http hls module do NGINX Ingress Controller, que pode ser explorado para causar uma negação de serviço ou, potencialmente, outros impactos. Isso pode ocorrer quando um arquivo de áudio ou vídeo especialmente criado é processado pelo módulo, permitindo que um invasor local corrompa a memória do worker do NGINX. O ataque só é possível se a diretiva hls for usada no arquivo de configuração e o invasor puder acionar o processamento de um arquivo especialmente criado.

Para versões do NGINX Plus anteriores à R27 P1, atualize para a versão R27 P1 ou posterior para resolver o problema.

Para versões do NGINX Plus anteriores à R26 P1, atualize para a versão R26 P1 ou posterior para resolver o problema.

Como solução alternativa temporária, considere desativar o ngx http hls module até que um patch esteja disponível ou restrinja o uso da diretiva hls no arquivo de configuração para minimizar o risco de exploração.