使用NGINX和NGINX Plus防范CVE-2015-1635

NGINX | 2015年4月16日

4月14日，Microsoft发布了一则漏洞警报，该漏洞现已编号为CVE-2015-1635。如果攻击者向受影响的Windows系统发送特制的HTTP请求，此漏洞可能允许远程执行代码。如果无法立即修补生产环境中的Windows服务器，NGINX和NGINX Plus可帮助抵御攻击。

截至本文撰写时，该漏洞的具体细节尚未公布，但据报道，攻击者正尝试通过发送包含超大Range请求的HTTP请求来查找存在漏洞的系统。这可能会触发缓冲区溢出，导致Windows系统崩溃。

强烈建议用户应用Microsoft补丁来修复此漏洞。但是，如果无法在所有生产系统上应用该补丁，并且正在使用NGINX或NGINX Plus对发往这些系统的流量进行负载均衡或代理，只需进行简单的配置更改，即可拦截并修正发送到易受攻击系统的特殊请求。

识别和处理侦察流量

Mattias Geniar分析了攻击流量，并报告称，在Range标头中指定较大字节范围的HTTP请求会触发崩溃：

GET / HTTP/1.1rnHost: stuffrn
Range: bytes=0-18446744073709551615rn
rn

最简单的解决方法是使用proxy_set_header指令将Range标头设置为""（空字符串）。这样可在将HTTP请求转发到proxy_pass指令指定的Windows服务器之前，有效删除该标头：

server {    listen 80;
 
    location / {
        proxy_set_header Range "";
        proxy_pass http://windowsserver:80;
    }
}

如果应用需要支持字节范围请求，可以使用map指令将任何类似大整数的字符串替换为空字符串，然后使用proxy_set_header指令设置Range标头：

map $http_range $saferange {    "~d{10,}" "";  # if it matches a string of 10 or more integers, remove it
    default $http_range;
}
 
server {
    listen 80;
 
    location / {
        proxy_set_header Range $saferange;
        proxy_pass http://windowsserver:80;
    }
}

或者，当Range标头中的值类似于一个大整数时，可以返回HTTP状态码444。状态码444会指示NGINX和NGINX Plus立即关闭客户端连接，不返回任何内容。

server {    listen 80;
 
    if ($http_range ~ "d{9,}") {
        return 444;
    }
 
    location / {
        proxy_pass http://windowsserver:80;
    }
}