摘要：近日有外媒報(bào)道稱，被爆出存在安全問題，有可能會導(dǎo)致多萬臺服務(wù)器遭受到攻擊。最后一個安全問題是僅影響運(yùn)行使用構(gòu)建的版本并在配置文件中啟用選項(xiàng)的服務(wù)器。綜上所述，漏洞影響和之間的所有版本，模塊安全問題影響運(yùn)行，及更高版本的服務(wù)器。

近日有外媒報(bào)道稱，Nginx被爆出存在安全問題，有可能會導(dǎo)致1400多萬臺服務(wù)器遭受到DoS攻擊。導(dǎo)致出現(xiàn)安全隱患的漏洞存在于HTTP／2 和 MP4模塊中。對此，Nginx Web服務(wù)器于本周二發(fā)布了新版本，用于修復(fù)影響 1．15．6， 1．14．1 之前版本的多個安全問題。然而，又發(fā)現(xiàn)了一個這樣的情況－－－允許潛在的攻擊者觸發(fā)拒絕服務(wù)（DoS）狀態(tài)并訪問敏感的信息。

“在Nginx HTTP／2的實(shí)驗(yàn)中發(fā)現(xiàn)了兩個安全問題，這可能導(dǎo)致過多的內(nèi)存被消耗（CVE－2018－16843）以及提高CPU的使用率（CVE－2018－16844）”，這是來自于Nginx的安全建議。此外，如果在配置文件中使用“l(fā)isten”指令的“http2”這個選項(xiàng)，那么則會影響使用ngx＿h(yuǎn)ttp＿v2＿module編譯的nginx。

為了利用上述兩個問題，攻擊者可以發(fā)送特制的HTTP／2請求，這將導(dǎo)致過多的CPU使用和內(nèi)存使用，最終觸發(fā)DoS狀態(tài)。

第三個安全問題是（CVE－2018－16845）會影響MP4模塊，使得攻擊者在惡意制作的MP4文件的幫助下，在worker進(jìn)程中導(dǎo)致出現(xiàn)無限循環(huán)、崩潰或內(nèi)存泄露狀態(tài)。

最后一個安全問題是僅影響運(yùn)行使用ngx＿h(yuǎn)ttp＿mp4＿module構(gòu)建的nginx版本并在配置文件中啟用mp4選項(xiàng)的服務(wù)器。

綜上所述，HTTP／2漏洞影響1．9．5和1．15．5之間的所有nginx版本，MP4模塊安全問題影響運(yùn)行nginx 1．0．7， 1．1．3及更高版本的服務(wù)器。

如果想要緩解上述的安全隱患，服務(wù)器管理員必須將其nginx升級到1．14．1 stable或者1．15．6主線版本才行。