No servidor web nginx foram identificados três problemas (CVE-2019-9511, CVE-2019-9513, CVE-2019-9516) que causavam consumo excessivo de memória ao utilizar o módulo ngx_http_v2_module e implementado a partir do protocolo HTTP/2. As versões vulneráveis vão de 1.9.5 a 1.17.2. As correções foram introduzidas no nginx 1.16.1 (ramo estável) e 1.17.3 (ramo principal). Os problemas foram descobertos por Jonathan Looney da Netflix.
Na versão 1.17.3 foram incluídas mais duas correções:
- Correção: ao utilizar compressão, mensagens 'zero size buf' poderiam aparecer nos logs; o erro foi introduzido na versão 1.17.2.
- Correção: ao utilizar a diretiva resolver no proxy SMTP,servidor um segmentation fault poderia ocorrer no fluxo de trabalho.
Fonte: linux.org.ru
