解决NGINX LDAP参考实现中的安全弱点

NGINX | 2022年4月11日

2022 年 4 月 9 日，NGINX LDAP参考实现中的安全漏洞被公开披露。我们已确定，只有该参考实现受到影响。NGINX Open Source和NGINX Plus本身不受影响；如果未使用该参考实现，则无需采取纠正措施。

NGINX LDAP参考实现使用轻量级目录访问协议（LDAP）对由NGINX代理的应用用户进行身份验证。该实现以Python守护进程及相关NGINX配置的形式发布在https://github.com/nginxinc/nginx-ldap-auth，其用途和配置详见我们的博客。

如果符合以下任一条件，部署的LDAP参考实现将受到这些漏洞的影响。下面将进一步说明这些条件以及相应的缓解措施：

使用命令行参数配置Python守护进程
存在未使用的可选配置参数
LDAP身份验证取决于是否属于特定组

注意：LDAP参考实现仅作为参考实现发布，说明了集成的工作机制，以及验证该集成所需的全部组件。它并非生产级LDAP解决方案。例如，示例登录页面使用的用户名和密码未加密，安全通知中已明确指出这一点。

缓解条件 1：使用命令行参数配置 Python 守护进程

配置LDAP参考实现的主要方式是使用多个proxy_set_header指令，具体说明请参阅示例配置和文档。不过，也可以在用于初始化Python守护进程（nginx-ldap-auth-daemon.py）的命令行中设置这些配置参数。

如果在命令行中指定配置参数，攻击者可以通过传递特制的HTTP请求标头来覆盖部分或全部参数。为防止这种情况，请将以下配置添加到NGINX配置中的location = /auth-proxy块（代码仓库中的nginx-ldap-auth.conf），确保在身份验证期间忽略所有无关的请求标头。

location = /auth-proxy {
    # ...
    proxy_pass_request_headers off;
    proxy_set_header Authorization $http_authorization; # If using Basic auth
    # ...
}

缓解条件 2：未使用的可选配置参数

与条件1相同，如果某些配置参数未在配置中设置，攻击者可以通过传递特制的HTTP请求标头来覆盖这些参数。例如，如果未在配置中显式设置LDAP搜索模板，该模板可能会被覆盖。防御方法也与条件1相同，即在NGINX配置的location = /auth-proxy块中添加以下配置。

location = /auth-proxy {
    # ...
    proxy_pass_request_headers off;
    proxy_set_header Authorization $http_authorization; # If using Basic auth
    # ...
}