关于Nginx存在远程、本地提权漏洞的有关情况通报

近期,国家信息安全漏洞共享平台(CNVD)收录了Nginx存在权限提升漏洞(CNVD-2016-10448,对应CVE-2016-1247)。综合利用该漏洞,本地及远程攻击者可利用该漏洞获取root权限。该产品广泛应用于构建网站服务器,由于漏洞验证信息已经公开,该漏洞可能诱发以控制为目的大规模攻击。CNCERT第一时间对上述漏洞的相关情况进行了解和分析,具体通报如下:

一、漏洞情况分析

Nginx是俄罗斯软件开发者Igor Sysoev所研发的一款HTTP和反向代理服务器,也可以作为邮件代理服务器,被广泛应用于网站服务器搭建。Ubuntu官方发布的安全公告称,Nginx程序在日志文件处理权限错误,远程攻击者利用该漏洞可获取系统ROOT权限。Debian官方公告称,由于Debian 系统上的Nginx服务器包处理日志文件的方式,本地攻击者利用漏洞可访问/var/log/nginx目录,读取日志文件。

CNVD对上述漏洞的综合评级为“高危”。

二、漏洞影响范围

该漏洞影响基于Debian操作系统的Nginx 1.6.2-5+deb8u3之前的版本、基于Ubuntu16.04 LTS操作系统的1.10.0-0ubuntu0.16.04.3之前版本、基于Ubuntu 14.04 LTS操作系统的1.4.6-1ubuntu3.6之前版本和基于Ubuntu 16.10操作系统的1.10.1-0ubuntu1.1之前版本。应用Nginx搭建的其他web服务器也可能存在同类安全风险。

根据CNVD秘书处普查情况,受到漏洞影响的运行于Debian操作系统平台的Nginx服务器达到118万,而受影响的Ubuntu平台Nginx服务器更多,达到676万。整体看,受影响较大的排名前五名的国家和地区分别是美国(占比52.4%)、德国(7.1%)、中国(6.3%)、英国(6.8%)、法国(4.4%)。

三、漏洞修复建议

目前,多个系统厂商已发布了漏洞修复方案,用户可将程序分别升级至基于Debian操作系统的Nginx 1.6.2-5+deb8u3版本、基于Ubuntu16.04 LTS操作系统的1.10.0-0ubuntu0.16.04.3版本、基于Ubuntu 14.04 LTS操作系统的1.4.6-1ubuntu3.6版本、基于Ubuntu 16.10操作系统的1.10.1-0ubuntu1.1版本。CNCERT建议用户关注厂商主页,升级到最新版本,避免引发漏洞相关的网络安全事件。

相关文章