最近新爆的nginx漏洞大佬们都更新了吗？

nextfriend

新版本的NginxWeb服务器已于11月6日发布，用于修复影响1.15.6,1.14.1之前版本的多个安全问题，该漏洞允许潜在的攻击者触发拒绝服务（DoS）状态并可能访问敏感的信息。

　　Nginx是一个开源的“HTTP和反向代理服务器，邮件代理服务器，以及通用的TCP/UDP代理服务器”，采用BSD协议发布。

　　此外，根据Netcraft的数据，nginx在2018年10月为25.28%最繁忙的网站提供服务。这里有一些成功的例子

ropbox,Netflix,Wordpress.com,FastMail.FM。”

　　“在nginxHTTP/2实现中发现了两个安全问题，这可能导致过多的内存消耗（CVE-2018-16843）和CPU使用率（CVE-2018-16844），”详见nginx的安全建议。

　　此外，“如果在配置文件中使用”listen“指令的”http2“选项，则问题会影响使用ngx_http_v2_module编译的nginx（默认情况下不编译）。”

　　为了利用上述两个问题，攻击者可以发送特制的HTTP/2请求，这将导致过多的CPU使用和内存使用，最终触发DoS状态。
　运行未修补的nginx版本的所有服务器都容易受到DoS攻击

　　第三个安全问题（CVE-2018-16845）影响MP4模块，允许攻击者在恶意制作的MP4文件的帮助下，在工作进程中导致无限循环，崩溃或内存泄露状态。

　　最后一个安全问题仅影响运行使用ngx_http_mp4_module构建的nginx版本并在配置文件中启用mp4选项的服务器。此外，如果攻击者还设法触发恶意MP4文件的处理，则该问题仅会影响服务器。

　　虽然HTTP/2漏洞影响1.9.5和1.15.5之间的所有nginx版本，但MP4模块安全问题会影响运行nginx1.0.7及更高版本的服务器以及nginx1.1.3或更高版本。

　　为缓解这两个问题，服务器管理员必须将其nginx安装更新为1.14.1稳定版或1.15.6主线版本。

　　目前，一个快速的Shodan搜索显示超过1400万台服务器运行未修补的nginx版本（更确切地说是14036690），而只有6992台服务器打了补丁。

Vhc

早更新到了1.14.1了，嘿嘿。。。

初缘Cvps小站

早就更新到1.15.6了

papawan

又要更新了 蛋疼哦 重新打包制作 好麻烦

loony

用的是oneinstack，nginx stable 1.14.1

升级很方便

janfou

本帖最后由 bigtiger8 于 2018-11-14 01:33 编辑





还是1.15.1， 好可怕

bigtiger8

没更新，等挂了再说。

nic2013

upgraded

zwstar

没更新，感觉这个漏洞不好利用

Tran

早就更新了

昨天看到新闻之后已经更新