Nginx range filter模塊數字錯誤漏洞(CVE-2017-7529)解決方法

Nginx range filter模塊數字錯誤漏洞(CVE-2017-7529)解決方法

漏洞描述

Nginx 0.5.6版本至1.13.2版本中的range filter模塊存在整數溢出漏洞

解決方法

1. nginx.conf的server裏增長max_ranges 1;
2. 升級nginx版本到1.13.3或1.12.1或以上

以公司118機器爲例：

server {
        listen 8080;
        server_name  eureka.china.cn;
        max_ranges 1;
        location / {
           proxy_pass http://1.13.22.118:8761;
        }
   }

官網描述

The issue affects nginx 0.5.6 - 1.13.2. The issue is fixed in nginx 1.13.3, 1.12.1. For older versions, the following configuration can be used as a temporary workaround: max_ranges 1; Patch for the issue can be found here: http://nginx.org/download/patch.2017.ranges.txt

參考

http://mailman.nginx.org/pipermail/nginx-announce/2017/000200.html

附錄

漏洞編號|0004131A -| 漏洞類型|WEB類 危險級別| 高危險 影響平臺|Nginx 0.5.6 to 1.13.2 CVSS分值|7.5 bugtraq編號| CVE編號|CVE-2017-7529 CNCVE編號|CNCVE-20177529 國家漏洞庫編號|CNNVD-201707-563 存在主機|12.96.28.2

簡單描述|Nginx 0.5.6版本至1.13.2版本中的range filter模塊存在整數溢出漏洞 -| 詳細描述|Nginx是由俄羅斯的程序設計師Igor Sysoev所開發的一款輕量級Web務服器/反向代理服wu器及電子郵件（IMAP/POP3）代理服wu器。range filter module是其中的一個範圍過濾器模塊。 Nginx 0.5.6版本至1.13.2版本中的range filter模塊存在整數溢出漏洞。攻擊者可利用該漏洞獲取敏感信息。 修補建議|目前廠商已發佈升級補丁以修復漏洞，補丁獲取連接： http://mailman.nginx.org/pipermail/nginx-announce/2017/000200.html 參考網址|MLIST:[nginx-announce] 20170711 nginx security advisory (CVE-2017-7529) URL:http://mailman.nginx.org/pipermail/nginx-announce/2017/000200.html BID:99534 URL:http://www.securityfocus.com/bid/99534 SECTRACK:1039238 URL:http://www.securitytracker.com/id/1039238

PS：提示這個是什麼鬼？？