新版本的NginxWeb服务器已于11月6日发布,用于修复影响1.15.6,1.14.1之前版本的多个安全问题,该漏洞允许潜在的攻击者触发拒绝服务(DoS)状态并可能访问敏感的信息。
Nginx是一个开源的“HTTP和反向代理服务器,邮件代理服务器,以及通用的TCP/UDP代理服务器”,采用BSD协议发布。
此外,根据Netcraft的数据,nginx在2018年10月为25.28%最繁忙的网站提供服务。这里有一些成功的例子ropbox,Netflix,Wordpress.com,FastMail.FM。”
“在nginxHTTP/2实现中发现了两个安全问题,这可能导致过多的内存消耗(CVE-2018-16843)和CPU使用率(CVE-2018-16844),”详见nginx的安全建议。
此外,“如果在配置文件中使用”listen“指令的”http2“选项,则问题会影响使用ngx_http_v2_module编译的nginx(默认情况下不编译)。”
为了利用上述两个问题,攻击者可以发送特制的HTTP/2请求,这将导致过多的CPU使用和内存使用,最终触发DoS状态。
运行未修补的nginx版本的所有服务器都容易受到DoS攻击
第三个安全问题(CVE-2018-16845)影响MP4模块,允许攻击者在恶意制作的MP4文件的帮助下,在工作进程中导致无限循环,崩溃或内存泄露状态。
最后一个安全问题仅影响运行使用ngx_http_mp4_module构建的nginx版本并在配置文件中启用mp4选项的服务器。此外,如果攻击者还设法触发恶意MP4文件的处理,则该问题仅会影响服务器。
虽然HTTP/2漏洞影响1.9.5和1.15.5之间的所有nginx版本,但MP4模块安全问题会影响运行nginx1.0.7及更高版本的服务器以及nginx1.1.3或更高版本。
为缓解这两个问题,服务器管理员必须将其nginx安装更新为1.14.1稳定版或1.15.6主线版本。
目前,一个快速的Shodan搜索显示超过1400万台服务器运行未修补的nginx版本(更确切地说是14036690),而只有6992台服务器打了补丁。
最新评论
还有个问题就是:如果没有了Redis Object Cache这个插件的支持,那么如何手动清理Redis产生的缓存文件呢,每次修改过网站模板或者一些设置文件后,不清理缓存的话还是无法搞清楚是否生效啊
感谢博主分享,以前一直是只能使用redis或memcached其中之一,今天看到博主的教程,切换到了Nginx openresty然后跟着教程操作完,检查总是显示bypass绕过或miss,不知道哪里不对,每一步都是跟博主教程一样的操作。博主有qq或微信吗,想请教下~
。。。。。。
错别字,重新提交一下问题-小白提问,我所有的操作和流程和教程完全一致,没有出现任何意外情况,直到群晖桌面生成图标,鼠标放上图标显示已启动,点击打开图标显示此站点连接不安全,然后我把浏览器安全级别降到最低,还是一样,请问大佬可能是哪里出问题了呢
小白提问,我所有的操作和流程和教程完全一致,没有出现任何意外情况,知道群晖桌面生成图标,鼠标放上图标现在已启动,点击打开显示此站点连接不安全,然后我把浏览器安全级别降到最低,还是一样,请问大佬可能是哪里出问题了呢。
这个办法好,找了半天都没找到能完整使用redis+memcached的办法,还是在这里找到了。 感谢博主的方法,试了一下,挺好的。但是我发现,套了cloudflare之后,即使不开页面规则(即不对网站进行全站缓存),F12查看网站依旧会发现cf cache命中,查看x-cache提示bypass绕过,那这个方法是不是只有cf没有缓存的时候才有效呢? 不过不管cf有没有作用,实际感受上,网站响应速度快了很多。
请问一下,重启之后缓存会被删除啊,这个怎么解决呢
没听懂链路聚合什么意思