相關推薦

nginx安全問題致使1400多萬台服務器易遭受DoS攻擊

據外媒報導,近日nginx被爆出存在安全問題,有可能會致使1400多萬台服務器易遭受DoS攻擊。而導致安全問題的漏洞存在於HTTP/2和MP4模塊中。nginx Web服務器於11月6日發布了新版本,用於修復影響1.15.6, 1.14.1之前版本的多個安全問題,被發現的安全問題有一種這樣的情況——允許潛在的攻擊者觸發拒絕服務(DoS)狀態並訪問敏感的信息。

nginx安全問題致使1400多萬台服務器易遭受DoS攻擊的照片- 1

“在nginx HTTP/2實現中發現了兩個安全問題,這可能導致過多的內存消耗(CVE-2018-16843)和CPU使用率(CVE-2018-16844)”,詳見nginx的安全建議。此外,“如果在配置文件中使用”listen”指令的”http2″選項,則問題會影響使用ngx_http_v2_module編譯的nginx(默認情況下不編譯)。”

為了利用上述兩個問題,攻擊者可以發送特製的HTTP/2 請求,這將導致過多的CPU使用和內存使用,最終觸發DoS 狀態。

所有運行未打上補丁的nginx 服務器都容易受到DoS 攻擊。

第三個安全問題(CVE-2018-16845)會影響MP4 模塊,使得攻擊者在惡意製作的MP4 文件的幫助下,在 worker 進程中導致出現無限循環、崩潰或內存洩露狀態。

最後一個安全問題僅影響運行使用ngx_http_mp4_module 構建的nginx 版本並在配置文件中啟用mp4 選項的服務器。

總的來說,HTTP/2 漏洞影響1.9.5 和1.15.5 之間的所有nginx 版本,MP4 模塊安全問題影響運行nginx 1.0.7, 1.1.3 及更高版本的服務器。

為緩解這兩個安全問題,服務器管理員必須將其nginx 升級到1.14.1 stable 或1.15.6 主線版本。

nginx安全問題致使1400多萬台服務器易遭受DoS攻擊的照片- 2

目前,Shodan 搜索顯示超過1400 萬台服務器運行未包含修復補丁的nginx 版本(更確切地說是14,036,690 台),僅有6992 台服務器打上了安全補丁。

为您推荐

發佈留言

联系我们

联系我们

工作时间:周一至周五,9:00-17:30,节假日休息

返回顶部