CVE-2018-16845

nginx en versiones anteriores a la 1.15.6 y 1.14.1 tiene una vulnerabilidad en ngx_http_mp4_module, que podría permitir que un atacante provoque un bucle infinito en un proceso worker o resulte en la divulgación de la memoria del proceso mediante el uso de un archivo mp4 especialmente manipulado. El problema solo afecta a nginx si está incluido con ngx_http_mp4_module (el módulo no está incluido por defecto) y se emplea la directiva .mp4 en el archivo de configuración. Además, el atacante solo es posible si un atacante puede desencadenar el procesado de un archivo mp4 especialmente manipulado con ngx_http_mp4_module.

An instance of missing input sanitization was found in the mp4 module for nginx. A local attacker could create a specially crafted video file that, when streamed by the server, would cause a denial of service (server crash or hang) and, possibly, information disclosure.