DSA-3701-2 nginx -- обновление безопасности

Высокая (7.2)

(AV:L/AC:L/Au:N/C:C/I:C/A:C)

Debian

nginx (any) nginx-common (any) nginx-doc (any) nginx-extras (any) nginx-extras-dbg (any) nginx-full (any) nginx-full-dbg (any) nginx-light (any) nginx-light-dbg (any)

Давид Голунский сообщил, что пакеты веб-сервера nginx в Debian
подвержены повышению привилегий (www-data до root)
в связи с обработкой слишком длинных файлов журнала. Данное обновление безопасности
изменяет владельца каталога /var/log/nginx. Кроме того,
/var/log/nginx сделан доступным локальным пользователям, локальные
пользователи могут прочитать файлы журнала до следующего
вызова logrotate.
В стабильном выпуске (jessie) эта проблема была исправлена в
версии 1.6.2-5+deb8u3.
Рекомендуется обновить пакеты nginx.

Проблема может быть решена обновлением операционной системыдо следующих версий пакетов в зависимости от архитектуры:
Debian GNU/Linux 8:
noarch:
nginx - 1.6.2-5+deb8u4
nginx-common - 1.6.2-5+deb8u4
nginx-doc - 1.6.2-5+deb8u4
nginx-extras - 1.6.2-5+deb8u4
nginx-extras-dbg - 1.6.2-5+deb8u4
nginx-full - 1.6.2-5+deb8u4
nginx-full-dbg - 1.6.2-5+deb8u4
nginx-light - 1.6.2-5+deb8u4
nginx-light-dbg - 1.6.2-5+deb8u4

http://www.debian.org/security/dsa-3701/

Источник: CVE
Наименование: CVE-2016-1247
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2016-1247