[nginx-ru-announce] nginx security advisory (CVE-2025-53859)

[Sergey Kandaurov]

Была обнаружена проблема в модуле ngx_mail_smtp_module,
которая позволяет атакующему вызвать чтение памяти за границей буфера,
что потенциально могло привести к утечке конфиденциальной информации
в содержимом HTTP-запроса к серверу аутентификации (CVE-2025-53859).

Проблема происходила в процессе аутентификации SMTP; требуется подготовка
к атаке на целевую систему, чтобы извлечь утёкшие данные.

Проблеме подвержен nginx 0.7.22-1.29.0.
Проблема исправлена в nginx 1.29.1.

При использовании более старых версий в качестве временной защиты
можно воспользоваться любым из решений:

(1) убрать параметр "none" из директивы "smtp_auth".
(2) убрать заголовок "Auth-Wait" из ответа сервера аутентификации.

Патч, исправляющий проблему, доступен тут:

https://nginx.org/download/patch.2025.smtp.txt

-- 
Sergey Kandaurov