手机版
你好,游客 登录 注册
背景:
阅读新闻

Nginx安全问题使1400多万台服务器容易受到DoS攻击

漏洞存在于HTTP/2和MP4模块中

[日期:2018-11-08] 来源:Linux公社  作者:醉落红尘 [字体: ]

新版本的Nginx Web服务器已于11月6日发布,用于修复影响1.15.6,1.14.1之前版本的多个安全问题,该漏洞允许潜在的攻击者触发拒绝服务(DoS)状态并可能访问敏感的信息。

Nginx是一个开源的“HTTP和反向代理服务器,邮件代理服务器,以及通用的TCP/UDP代理服务器”,采用BSD协议发布。

此外,根据Netcraft的数据,nginx在2018年10月为25.28%最繁忙的网站提供服务。这里有一些成功的例子:Dropbox, Netflix, Wordpress.com, FastMail.FM。”

“在nginx HTTP/2实现中发现了两个安全问题,这可能导致过多的内存消耗(CVE-2018-16843)和CPU使用率(CVE-2018-16844),”详见nginx的安全建议

此外,“如果在配置文件中使用”listen“指令的”http2“选项,则问题会影响使用ngx_http_v2_module编译的nginx(默认情况下不编译)。”

为了利用上述两个问题,攻击者可以发送特制的HTTP/2请求,这将导致过多的CPU使用和内存使用,最终触发DoS状态。

Nginx安全问题使1400多万台服务器容易受到DoS攻击

运行未修补的nginx版本的所有服务器都容易受到DoS攻击

第三个安全问题(CVE-2018-16845)影响MP4模块,允许攻击者在恶意制作的MP4文件的帮助下,在工作进程中导致无限循环,崩溃或内存泄露状态。

最后一个安全问题仅影响运行使用ngx_http_mp4_module构建的nginx版本并在配置文件中启用mp4选项的服务器。此外,如果攻击者还设法触发恶意MP4文件的处理,则该问题仅会影响服务器。

虽然HTTP/2漏洞影响1.9.5和1.15.5之间的所有nginx版本,但MP4模块安全问题会影响运行nginx 1.0.7及更高版本的服务器以及nginx 1.1.3或更高版本。

为缓解这两个问题,服务器管理员必须将其nginx安装更新为1.14.1 稳定版或1.15.6主线版本。

目前,一个快速的Shodan搜索显示超过1400万台服务器运行未修补的nginx版本(更确切地说是14036690),而只有6992台服务器打了补丁。

Nginx配置HTTPS详细说明  https://www.linuxidc.com/Linux/2018-08/153609.htm

Linux  下 Nginx 安装部署 Let's Encrypt 证书实现 HTTPS  https://www.linuxidc.com/Linux/2018-08/153410.htm

Linux公社的RSS地址https://www.linuxidc.com/rssFeed.aspx

本文永久更新链接地址https://www.linuxidc.com/Linux/2018-11/155240.htm

linux
相关资讯       Nginx安全漏洞 
本文评论   查看全部评论 (0)
表情: 表情 姓名: 字数

       

评论声明
  • 尊重网上道德,遵守中华人民共和国的各项有关法律法规
  • 承担一切因您的行为而直接或间接导致的民事或刑事法律责任
  • 本站管理人员有权保留或删除其管辖留言中的任意内容
  • 本站有权在网站内转载或引用您的评论
  • 参与本评论即表明您已经阅读并接受上述条款