Nginx phát hành bản vá các lỗ hổng bảo mật

Ngoài việc cung cấp chức năng máy chủ web, Nginx còn có thể được sử dụng như một máy chủ proxy ngược mã nguồn mở (open source reverse proxy server), bộ cân bằng tải (load balancer), mail proxy và HTTP cache. Nginx tập trung vào việc phục vụ số lượng kết nối đồng thời lớn, hiệu suất cao và sử dụng bộ nhớ thấp. Nginx được biết đến bởi sự ổn định cao, nhiều tính năng, cấu hình đơn giản và tiết kiệm tài nguyên. Không giống với các máy chủ web truyền thống, Nginx không dựa trên luồng (thread) để xử lý yêu cầu. Thay vào đó, nó sử dụng một kiến trúc bất đồng bộ hướng sự kiện linh hoạt. Kiến trúc này sử dụng ít, nhưng quan trọng hợn, là lượng bộ nhớ có thể dự đoán khi hoạt động.

Hiện nay, có khoảng 400 triệu các website trên Internet đang sử dụng Nginx là máy chủ web, khiến nó trở thành một trong những máy chủ web được sử dụng rộng rãi nhất. Nginx đặc biệt được đánh giá cao trên các website có số lượng đông đảo người tham gia như Facebook, Zappos, Groupon, Hulu, Dropbox và WordPress. NGINX, Inc., công ty đứng sau Nginx, đã kiếm được hơn 100 triệu USD, bao gồm 43 triệu USD vào tháng 6 năm 2018.

Các nhà phát triển của Nginx gần đây đã phát hành hai phiên bản của nginx là 1.15.6 (mainline version) và 1.14.1 (stable version) để vá lỗ hổng bảo mật mà cho phép tin tặc có thể kích hoạt các cuộc tấn công từ chối dịch vụ, gây rò rỉ thông tin trên máy chủ.

Một trong những lỗ hổng này là CVE-2018-16843, có thể dẫn đến tiêu thụ bộ nhớ quá mức. Lỗi bảo mật khác, được phát hiện bởi Gal Goldshtein từ F5 Networks và được xác định là CVE-2018-16844, có thể gây ra việc sử dụng CPU quá mức.

“Hai lỗ hổng này chỉ ảnh hưởng đến nginx được biên dịch với ngx_http_v2_module (không được biên dịch theo mặc định) nếu tùy chọn‘ http2 ’của chỉ thị‘ listen ’được sử dụng trong một tệp cấu hình”, nhà phát triển lõi của Nginx Maxim Dounin giải thích.

Các quản trị viên trang web sử dụng nginx cũng được thông báo về lỗ hổng bảo mật ảnh hưởng đến modul ngx_http_mp4_module mà cung cấp hỗ trợ phát giả đối với các tệp tin đa phương tiện MP4.

Tin tặc có thể tấn công máy chủ bằng cách gửi các yêu cầu HTTP/2 được tạo đặc biệt sẽ dẫn đến việc sử dụng CPU và sử dụng bộ nhớ quá mức, cuối cùng kích hoạt trạng thái DoS.

Vấn đề bảo mật thứ ba (CVE-2018-16845) ảnh hưởng đến mô-đun MP4, cho phép kẻ tấn công gây ra vòng lặp vô hạn, sự cố hoặc trạng thái rò rỉ bộ nhớ trong tiến trình làm việc của Nginx với sự trợ giúp của tệp MP4 giả mạo. Nó chỉ ảnh hưởng đến các máy chủ chạy phiên bản nginx được xây dựng bằng cách sử dụng ngx_http_mp4_module (modul này không được xây dựng theo mặc định) và với tùy chọn mp4 được kích hoạt trong tệp cấu hình. Ngoài ra, vấn đề sẽ chỉ ảnh hưởng đến một máy chủ nếu những kẻ tấn công có thể kích hoạt kích hoạt việc xử lý một tập tin MP4 giả mạo với ngx_http_mp4_module.

Lỗ hổng này ảnh hưởng đến Nginx 1.1.3 cũng như 1.0.7 và các phiên bản sau đó, và nó cũng được vá với việc phát hành các phiên bản 1.15.6 và 1.14.1 vào ngày 6/11 vừa qua.