欢迎光临
我们一直在努力

【网络安全】Nginx安全问题使1400多万台服务器容易受到DoS攻击 漏洞存在于HTTP/2和MP4模块中

推广者专属福利,新客户无门槛领取总价值高达2775元代金券,每种代金券限量500张,先到先得。
简介:

2018年11月9日,阿里云云盾应急响应中心监测到Nginx近日发布安全更新,披露了三个可能导致服务器拒绝服务的漏洞:CVE-2018-16843、CVE-2018-16844和CVE-2018-16845。位于Nginx HTTP/2 模块和流媒体MP4模块中。攻击者通过构造特定的恶意HTTP请求,可远程DoS服务器。

详情:

CVE-2018-16843、CVE-2018-16844漏洞存在于ngx_http_v2_module模块之中(默认情况下不编译,编译时需要开启–with-http_v2_module,同时将listen http2添加到配置文件中),当用户添加http2支持时,攻击者可以发送特制的HTTP/2请求,消耗CPU和内存资源,最终导致服务器DoS。CVE-2018-16845漏洞存在于ngx_http_mp4_module模块中,当Nginx处理恶意的MP4文件时会导致处理进程无限循环、崩溃或者内存泄露,造成服务器DoS。

影响范围

主线版本:< 1.15.6
稳定版本:< 1.14.1

风险评级

CVE-2018-16843:高危
CVE-2018-16844:高危
CVE-2018-16845:高危

解决方案:

注:漏洞修复要求的技术专业度较高,建议先备份服务器镜像再做升级操作

方案一:

升级至Nginx最新安全版本(1.15.6或1.14.1),官方下载链接:http://nginx.org/en/download.html;

现在来介绍不停服(nginx服务)升级nginx的步骤:

1. 使用lsb_release -a 命令查看centos版本

2. 使用vim /etc/yum.repos.d/nginx.repo打开个新文件,粘贴以下内容:

[nginx]
name=nginx repo
baseurl=http://nginx.org/packages/centos/OSRELEASE/$basearch/
gpgcheck=0
enabled=1

其中OSRELEASE就用centos版本替代,比如本机centos版本为7.5.*(http://nginx.org/packages/centos/7/$basearch/)保存退出

3. 使用命令yum list |grep nginx可以看到yum列表中存在稳定版本的nginx(现在稳定版的为1.14.1)

4. 使用命令yum update nginx -y完成nginx的更新升级

5. nginx -v看以看到已经是稳定版本了,nginx -t配置测试也通过

6. 使用命令nginx -s reload完成重新启动

如以上更新时,发生意外nginx: [emerg] module “/usr/lib64/nginx/modules/ngx_http_geoip_module.so” version 1012002 instead of 1014000 in /usr/share/nginx/modules/mod-http-geoip.conf:1

这个原因是因为以前nginx modules 和现在官方的modules 不匹配需要我们先将旧的modules 卸载安装新版官方的modules

命令如下:

yum remove nginx-mod*

yum install nginx-module-*

然后再次重启ok nginx -s reload

在此更新最新版本已完成,是不是很轻松愉快的玩耍了!

方案二:

针对CVE-2018-16843和CVE-2018-16844漏洞,可采取禁用HTTP/2协议(可能导致服务不可用),使用到HTTP/2协议的配置类似如下:

server {
listen 443 ssl http2 default_server;
server_name localhost;
ssl_certificate /path/to/public.crt;
ssl_certificate_key /path/to/private.key;

检查Nginx配置文件中是否使用到http2参数,如没有,则不受漏洞影响。

方案三:

针对使用Tengine的建议使用官方最新版本修复漏洞:http://tengine.taobao.org/changelog_cn.html#2_2_3

赞(0) 打赏
未经允许不得转载:我爱IT社区-做技术人员的指路明灯 » 【网络安全】Nginx安全问题使1400多万台服务器容易受到DoS攻击 漏洞存在于HTTP/2和MP4模块中

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

阿里云优惠网免费分享阿里云优惠券,阿里云推荐码,阿里云代金券领取,阿里云服务器ecs租用、阿里云服务器购买。领取本站阿里云优惠券可购买限时2折服务器,并返现20%费用。

年终钜献云服务2折进行中阿里云1888优惠券

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏