Según el experto en seguridad Ivan Fratric del equipo de Google ha descubierto un fallo en nginx que podría permitir a un atacante remoto eludir restricciones de seguridad de algunas configuraciones.

nginx es un servidor web, open source y desarrollado casi íntegramente en el lenguaje C, lo que le proporciona un alto rendimiento aprovechando al máximo los recursos del sistema. Una prueba de ello es que viene por defecto instalado en algunas distribuciones para Raspberry Pi. También puede realizar la función de servidor Proxy inverso para HTTP, SMTP,

POP3 e IMAP. 
 
La vulnerabilidad con CVE-2013-4547 se produce en peticiones URI que contengan el carácter ‘espacio’ y no se encuentre escapado, concretamente no se comprueba el carácter que haya a continuación de éste, pudiendo así eludir restricciones de seguridad como la siguiente: 
 
location /protected/ {
deny all;
 
Se puede tomar como ejemplo la petición "/foo /../protected/file" (es necesario que exista el directorio "foo "). 
 
Afecta a las versiones 0.8.41 – 1.5.6 y se encuentra ya solucionado en las versiones 1.5.7, 1.4.4 . 
 
Opina sobre esta noticia: 
http://unaaldia.hispasec.com/2013/11/google-soluciona-una-grave.html#comments
 
Más información:
 
nginx security advisory (CVE-2013-4547)
http://mailman.nginx.org/pipermail/nginx-announce/2013/000125.html
 
nginx – patch.2013.space
http://nginx.org/download/patch.2013.space.txt

Fuente:
Fernando Castillo
fcastillo@hispasec.com
Laboratorio Hispasec
www.hispasec.com

Imagen:
Fotos Digitales Gratis
www.fotosdigitalesgratis.com

Logotipos/Imágenes/Texto MR Respectiva/s Compañía/s mencionada/s en la noticia.
Portal de Seguridad Informática, Tecnología e Internet
Descargas Antivirus/Antimalware
www.antivirusgratis.com.ar