站长视角
用户至上

Nginx被曝安全问题 1400万台服务器遭受攻击

近日有外媒报道称,Nginx被爆出存在安全问题,有可能会导致1400多万台服务器遭受到DoS攻击。导致出现安全隐患的漏洞存在于HTTP/2 和 MP4模块中。对此,Nginx Web服务器于本周二发布了新版本,用于修复影响 1.15.6, 1.14.1 之前版本的多个安全问题。然而,又发现了一个这样的情况—允许潜在的攻击者触发拒绝服务(DoS)状态并访问敏感的信息。

“在Nginx HTTP/2的实验中发现了两个安全问题,这可能导致过多的内存被消耗(CVE-2018-16843)以及提高CPU的使用率(CVE-2018-16844)”,这是来自于Nginx的安全建议。此外,如果在配置文件中使用“listen”指令的“http2”这个选项,那么则会影响使用ngx_http_v2_module编译的nginx。

为了利用上述两个问题,攻击者可以发送特制的HTTP/2请求,这将导致过多的CPU使用和内存使用,最终触发DoS状态。

第三个安全问题是(CVE-2018-16845)会影响MP4模块,使得攻击者在恶意制作的MP4文件的帮助下,在worker进程中导致出现无限循环、崩溃或内存泄露状态。

最后一个安全问题是仅影响运行使用ngx_http_mp4_module构建的nginx版本并在配置文件中启用mp4选项的服务器。

综上所述,HTTP/2漏洞影响1.9.5和1.15.5之间的所有nginx版本,MP4模块安全问题影响运行nginx 1.0.7, 1.1.3及更高版本的服务器。

如果想要缓解上述的安全隐患,服务器管理员必须将其nginx升级到1.14.1 stable或者1.15.6主线版本才行

赞(0)
版权声明:本文采用知识共享 署名4.0国际许可协议 [BY-NC-SA] 进行授权, 转载请注明出处。
文章名称:《Nginx被曝安全问题 1400万台服务器遭受攻击》
文章链接:https://www.veidc.com/2942.html
【声明】:国外主机测评仅分享信息,不参与任何交易,也非中介,所有内容仅代表个人观点,均不作直接、间接、法定、约定的保证,读者购买风险自担。一旦您访问国外主机测评,即表示您已经知晓并接受了此声明通告。
【关于安全】:任何 IDC商家都有倒闭和跑路的可能,备份永远是最佳选择,服务器也是机器,不勤备份是对自己极不负责的表现,请保持良好的备份习惯。