【漏洞】nginx爆出新漏洞 最低限度可造成DDos攻击

2265647013

5月9日消息：国内某安全厂商称HTTP代理服务器nginx爆出远程栈缓冲区溢出漏洞，攻击者利用此漏洞可能造成栈溢出，从而执行任意代码，最低限度可造成拒绝服务攻击。目前，官方已经发布安全公告以及相应补丁，提醒广大站长及时修补此漏洞

nginx是一款流行的HTTP及反向代理服务器，同时也用作邮件代理服务器。其中，nginx 1.3.9-1.4.0版本文件http/ngx_http_parse.c代码中的ngx_http_parse_chunked()函数在对chunked的长度进行解析时未考虑到该值为负数的情况，导致后续发生基于栈的缓冲区溢出。远程攻击者无需认证即可利用此漏造成nginx拒绝服务，甚至执行任意代码。

官方公告：http://nginx.org/en/security_advisories.html

DDOS攻击确定很可怕，对于中小网站来说，面对大规模DDOS攻击，可能即意味着噩梦的开始，本次nginx漏洞爆出，无疑会又有很多网站服务器因此沦为肉鸡，加速乐强烈建议使用nginx的网站及时升级，避免由受害者成为施害着。同时加速乐庞大的云防火墙集群严正以待随时应对可能发生的大规模DDOS攻击。

独孤紫天

5555555，我沦陷了，跪求升级方法。

guan6

升级nginx。
我用的tengine，升级到tengine1.4.6
tengine1.4.6 合并nginx-1.2.9的更新，修正CVE-2013-2070带来的安全问题！

具体方法如下，进去lunamp安装程序 soft目录。下载tengine1.4.6

1. wget http://tengine.taobao.org/download/tengine-1.4.6.tar.gz

复制代码

再进入code目录里的tengine

1. cd /home/LuNamp/code/tengine/

复制代码

编辑里面的tengine.sh文件。 输入版本号。

1. soft_version="1.4.6"

复制代码

保存退出后，执行此文件

1. ./tengine.sh

复制代码

guan6

完成后  nginx -v 查看版本。

1. Tengine/1.4.6 (nginx/1.2.9)

复制代码

不管你用的是nginx还是tengine，反正这个方法2个都升级。

华滩河

学习了，留用，谢谢分享

爱洞特漏

LuNamp自带的那个应该不包括这个漏洞的

飞跃无限

guan6 发表于 2013-5-21 17:56
升级nginx。
我用的tengine，升级到tengine1.4.6
tengine1.4.6 合并nginx-1.2.9的更新，修正CVE-2013-20 ...

cd /home/LuNamp/code/tengine/
为什么我服务器上没有这个目录，是centos 6.4

[root@localhost ~]# cat /proc/version
Linux version 2.6.32-358.el6.x86_64 (mockbuild@c6b8.bsys.dev.centos.org) (gcc version 4.4.7 20120313 (Red Hat 4.4.7-3) (GCC) ) #1 SMP Fri Feb 22 00:31:26 UTC 2013
[root@localhost ~]# lsb_release -a
LSB Version:    :base-4.0-amd64:base-4.0-noarch:core-4.0-amd64:core-4.0-noarch:graphics-4.0-amd64:graphics-4.0-noarch:printing-4.0-amd64:printing-4.0-noarch
Distributor ID: CentOS
Description:    CentOS release 6.4 (Final)
Release:        6.4
Codename:       Final

飞跃无限

guan6 发表于 2013-5-21 18:00
完成后  nginx -v 查看版本。不管你用的是nginx还是tengine，反正这个方法2个都升级。

make[1]: Leaving y `/root/LuNamp/soft/tengine-1.4.6'
ln: 创建符号链接 "/usr/local/LuNamp/other_cmd/*": 文件已存在
[root@localhost tengine]# Tengine/1.4.6 (nginx/1.2.9)


升级失败了。。