Страницы

пятница, 8 июня 2012 г.

Устранена уязвимость в nginx — третьем по популярности веб-сервере в мире


Опасная уязвимость в nginx под Windows обнаружена экспертом Исследовательского центра Positive Research Владимиром Кочетковым.

При работе под Windows существует много способов получить доступ к одному и тому же файлу, и nginx учитывал не все такие способы. Уязвимость «Обход ограничений безопасности» была найдена в Windows-версиях программы (начиная с 0.7.52 вплоть до 1.2.0 и 1.3.0 включительно). Ошибка позволяла злоумышленнику направлять HTTP-запросы к некоторым URL в обход правил, определенных в директивах location конфигурации веб-сервера.

Воспользовавшись недостаточной защищенностью nginx, потенциальный хакер мог получить доступ к исходному коду веб-приложения и закрытым разделам сайта, украсть пароли подключения к базе данных и другим службам. При сопоставлении URL запрошенного ресурса с локациями, определенными в конфигурации веб-сервера, не учитывается имеющаяся в файловой системе NTFS возможность адресовать каталог с использованием расширенного синтаксиса. Это позволяет обойти ряд ограничений, связанных с запретом доступа к тем или иным статическим ресурсам.

О nginx: HTTP-сервер и обратный прокси-сервер, а также почтовый прокси-сервер, написанный Игорем Сысоевым. Число сайтов, обслуживаемых nginx, превышает 70 миллионов. При этом, процент активных сайтов, использующих nginx, составляет 12,49% от общего количества активных сайтов. Он является самым популярным веб-сервером доменной зоны .ru, обслуживая более половины всего ресурсов сегмента (среди них известные и высоконагруженные проекты — Yandex, Rambler, Mail.Ru, «Вконтакте» и многие другие).

Впервые об уязвимости стало известно на форуме Positive Hack Days 2012, организованном компанией Positive Technologies, в рамках доклада Владимира Кочеткова «Взломать сайт на ASP.NET? Сложно, но можно!»

1 комментарий:

  1. I'm glad to be reading this article, I simply want to offer you a huge thumbs up for your great information.
    Tableau Guru
    www.sqiar.com

    ОтветитьУдалить