Lỗ hổng trong nginx có thể khiến 14 triệu website bị tấn công từ chối dịch vụ

[DDos]

Gần đây, Nginx đã phát hành hai phiên bản của nginx là 1.15.6 (mainline version) và 1.14.1 (stable version) để vá lỗ hổng bảo mật mà cho phép hacker có thể kích hoạt các cuộc tấn công từ chối dịch vụ và rò rỉ thông tin trên server.

Nginx là một webserver mà có thể được sử dụng như một máy chủ proxy ngược mã nguồn mở (open source reverse proxy server), load balancer, mail proxy và HTTP cache. Dự án Nginx tập trung vào việc phục vụ số lượng kết nối đồng thời lớn (high concurrency), hiệu suất cao và sử dụng bộ nhớ thấp. Nginx được biết đến bởi sự ổn định cao, nhiều tính năng, cấu hình đơn giản và tiết kiệm tài nguyên. Theo thống kê mới nhất từ Netcraft, Nginx chiếm hơn 25.28% tổng số webserver được sử dụng trên toàn thế giới.

Hai vấn đề an ninh đã được xác định trong việc thực hiện nginx HTTP/2, có thể gây ra tiêu thụ bộ nhớ quá mức (CVE-2018-16843) và việc sử dụng CPU (CVE-2018-16844) ở mức cao.

Tuy nhiên hai lỗ hổng này chỉ ảnh hưởng tới Nginx khi bạn sử dụng ngx_http_v2_module (theo mặc định, module này không được bật). Hacker có thể tấn công server bằng cách gửi các yêu cầu HTTP/2 được tạo đặc biệt sẽ dẫn đến việc sử dụng CPU và sử dụng bộ nhớ quá mức, cuối cùng kích hoạt trạng thái DoS.

Vấn đề bảo mật thứ ba (CVE-2018-16845) ảnh hưởng đến mô-đun MP4, cho phép kẻ tấn công gây ra vòng lặp vô hạn, sự cố hoặc trạng thái tiết lộ bộ nhớ trong tiến trình làm việc của Nginx với sự trợ giúp của tệp MP4 độc hại.

Vấn đề bảo mật cuối cùng này chỉ ảnh hưởng đến các máy chủ chạy phiên bản nginx được xây dựng bằng cách sử dụng ngx_http_mp4_module và với tùy chọn mp4 được kích hoạt trong tệp cấu hình. Ngoài ra, vấn đề sẽ chỉ ảnh hưởng đến một máy chủ nếu những kẻ tấn công cũng quản lý để kích hoạt việc xử lý các tập tin MP4 độc hại.