форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
Сообщение от opennews (ok) on 20-Ноя-13, 10:45
Выпущены внеплановое обновление стабильной ветки http-сервера nginx 1.4.4 (http://mailman.nginx.org/pipermail/nginx-announce/2013/00012...) и экспериментальный выпуск nginx 1.5.7 (http://mailman.nginx.org/pipermail/nginx-announce/2013/00012...) в которых устранена  уязвимость (http://mailman.nginx.org/pipermail/nginx-announce/2013/00012...) (CVE-2013-4547), позволяющая обойти ограничения доступа к закрытым областям сайта, при наличии на сервере директорий c именем, заканчивающимся на символ пробела. Проблема выявлена командой Google Security Team и проявляется во всех выпусках начиная с версии 0.8.41. Суть проблемы сводится к возможности обхода блоков "location" через косвенное обращения к ресурсу с использованием разрешённой директории с пробелом в конце имени. В частности, если на сервере публично доступна директория "foo " и закрыт доступ к директории "protected" с использованием правила "location /protected/ { deny all; }", то получить доступ к содержимому директории "protected" можно отправив запрос "/foo /../protected/file" вместо "/protected/fire".  Другим проявлением может стать возможность обращения в форме "/file \0.php" к скриптам с пробелом в имени при наличии правила  "location ~ \.php$ { }". При отправке таких запросов, сервер ограничивается проверкой маски в блоке до неэкранированного пробела. Причиной уязвимости является добавленный в версии nginx 0.8.41 код для обеспечения совместимости с некоторыми проблемными клиентскими приложениями, допускающий использование неэкранированных пробелов в URI, несмотря на недопустимость таких символов в протоколе HTTP (в URI должен фигурировать "%20", а не " "). Пользователям прошлых версий nginx предложено можно использовать патч (http://nginx.org/download/patch.2013.space.txt) или заблокировать проявление проблемы обходным путём, добавив в блок server{} конфигурации: <font color="#461b7e">     if ($request_uri ~ " ") {         return 444;     } </font> URL: http://mailman.nginx.org/pipermail/nginx-announce/2013/00012... Новость: http://www.opennet.ru/opennews/art.shtml?num=38478
Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по времени | RSS]

1. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
Сообщение от SpiritOfStallman (ok) on 20-Ноя-13, 10:45
>"/foo /../protected/file" А разве не грамотно игнорировать[запрещать] фишки, по типу ".."?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	3. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
	Сообщение от Аноним (??) on 20-Ноя-13, 10:53
	а разве их кто-то запрещает?
	Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
Сообщение от Аноним (??) on 20-Ноя-13, 10:49
использовать пробелы в конце имён файлов это лал
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	5. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
	Сообщение от Аноним (??) on 20-Ноя-13, 11:31
	> использовать пробелы в конце имён файлов это лал Погляди спецификации WPAD и то, как яббло работает с именами wpad-файлов, например.
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	8. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
	Сообщение от гость on 20-Ноя-13, 12:42
	>> использовать пробелы в конце имён файлов это лал > Погляди спецификации WPAD и то, как яббло работает с именами wpad-файлов, например. Поясни, что не так, если не сложно.
	Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

	11. "Обновление nginx 1.4.4 с устранением  уязвимости"	–2 +/–
	Сообщение от pro100master (ok) on 20-Ноя-13, 13:25
	а при чем здесь имена файлов и пробелы? Проблема совершенно в другом, а именно, в некорректной обработке \0 с выходом на произвольный файл (т.е. имя может быть любым, какое захочет атакующий) в document_root. И само имя файла вообще не при делах, т.к. атака может быть через curl или другой софт :)
	Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

	19. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от angra (ok) on 20-Ноя-13, 22:21
	Попробуй новость почитать. Уязвимость именно с наличием пробелов, а не \0.
	Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

4. "Обновление nginx 1.4.4 с устранением  уязвимости"	+4 +/–
Сообщение от Xaionaro (ok) on 20-Ноя-13, 11:29
IMHO, вообще моветон использовать имена файлов с кириллицой, пробелами и прочими приблудами.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	6. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от Аноним (??) on 20-Ноя-13, 11:41
	> IMHO, вообще моветон использовать имена файлов с кириллицой, пробелами и прочими приблудами. А с иероглифами можно? Если да, то почему с кириллицей нельзя? Если нет - то почему список не полный? ;)
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	18. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
	Сообщение от Xaionaro (ok) on 20-Ноя-13, 17:48
	>> IMHO, вообще моветон использовать имена файлов с кириллицой, пробелами и прочими приблудами. > А с иероглифами можно? Если да, то почему с кириллицей нельзя? Если > нет - то почему список не полный? ;) Я ж написал: > и прочими приблудами. Сюда и иероглифы входят и другие приблуды :)
	Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

	7. "Обновление nginx 1.4.4 с устранением  уязвимости"	+2 +/–
	Сообщение от гость on 20-Ноя-13, 12:42
	Истинно правоверными являются только 0 и 1. Всё остальное - напыщенные излишества.
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	10. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от asand3r on 20-Ноя-13, 13:12
	"Есть только 0 и 1. Всё остальное от лукавого" (с) по-моему bash.org.ru =)
	Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

	13. "Обновление nginx 1.4.4 с устранением  уязвимости"	+7 +/–
	Сообщение от pavlinux (ok) on 20-Ноя-13, 15:17
	Есть высокий потенциал на проводнике и низкий, а 0 и 1 придумали ботаны!
	Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

	22. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от Аноним (??) on 21-Ноя-13, 02:35
	> Есть высокий потенциал на проводнике и низкий, а 0 и 1 придумали ботаны! А как насчет дифференциальных линий? У USB например имеет смысл только состояние 2 проводников сразу. И состояний, очевидно, 4. А есть например Ethernet. У него так вообще несколько уровней напряжения в проводнике имеется. Это, конечно, придумали ботаны. Но ты этим пользуешься.
	Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

	27. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от pavlinux (ok) on 21-Ноя-13, 22:59
	>> Есть высокий потенциал на проводнике и низкий, а 0 и 1 придумали ботаны! > А как насчет дифференциальных линий? У USB например имеет смысл только состояние > 2 проводников сразу. И состояний, очевидно, 4. А есть например Ethernet. > У него так вообще несколько уровней напряжения в проводнике имеется. Пля, прикинь а на оптике ваще фотоны летают, с разными длинами волн, и че?! Как это связано с Логикой?
	Ответить | Правка | ^ к родителю #22 | Наверх | Cообщить модератору

	30. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
	Сообщение от Аноним (??) on 22-Ноя-13, 13:36
	> Как это связано с Логикой? Ну вот так. Ты сам полез коррелировать логику с уровнями напряжений. А я намекнул что с ними не все так просто. Скажем как тебе 4B3T? Где пачка из 4 бита за раз конвертится в три трехуровневых состояния :). А один бит при таком кодировании - вообще не существует как состояние линии. Обломись, да? Еще веселее схемы с предысторией :).
	Ответить | Правка | ^ к родителю #27 | Наверх | Cообщить модератору

	21. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от Aesthetus Animus (ok) on 21-Ноя-13, 02:08
	> IMHO, вообще моветон использовать имена файлов с кириллицой, пробелами и прочими приблудами. http://ru.wiktionary.org/wiki/моветон Что в этом плохого?
	Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

	23. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от Xaionaro (ok) on 21-Ноя-13, 15:37
	>> IMHO, вообще моветон использовать имена файлов с кириллицой, пробелами и прочими приблудами. > http://ru.wiktionary.org/wiki/моветон Я знаю что такое "моветон", не надо меня в словарь тыкать :) > Что в этом плохого? Просто на опыте. Использование всякой такой шняги приводит к неожиданным багам (как в функциональном плане, так и в плане безопасности). И это общеизвестно (а кому не известно, с опытом работы сам поймёт, IMHO). Собственно далеко идти не надо - смотри текст новости :). И, IMHO, каждый кто несмотря на это использует кириллицу, пробелы и прочие гадости частично сам виноват в последствиях.
	Ответить | Правка | ^ к родителю #21 | Наверх | Cообщить модератору

	24. "Обновление nginx 1.4.4 с устранением  уязвимости"	–1 +/–
	Сообщение от pavel_simple (ok) on 21-Ноя-13, 15:49
	>>> IMHO, вообще моветон использовать имена файлов с кириллицой, пробелами и прочими приблудами. >> http://ru.wiktionary.org/wiki/моветон > Я знаю что такое "моветон", не надо меня в словарь тыкать :) >> Что в этом плохого? > Просто на опыте. Использование всякой такой шняги приводит к неожиданным багам (как > в функциональном плане, так и в плане безопасности). И это общеизвестно > (а кому не известно, с опытом работы сам поймёт, IMHO). Собственно > далеко идти не надо - смотри текст новости :). И, IMHO, > каждый кто несмотря на это использует кириллицу, пробелы и прочие гадости > частично сам виноват в последствиях. ТакЪ! ПобедимЪ! нужно запретить кирилицу -- а всех кто ей пользуется растерелять чтобы не мучались. Понапридумывали понимаиишшш всяких букав. Да и китайцев с японцами и арабов до кучи.
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

	26. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от Xaionaro (ok) on 21-Ноя-13, 20:59
	>[оверквотинг удален] >> Я знаю что такое "моветон", не надо меня в словарь тыкать :) >>> Что в этом плохого? >> Просто на опыте. Использование всякой такой шняги приводит к неожиданным багам (как >> в функциональном плане, так и в плане безопасности). И это общеизвестно >> (а кому не известно, с опытом работы сам поймёт, IMHO). Собственно >> далеко идти не надо - смотри текст новости :). И, IMHO, >> каждый кто несмотря на это использует кириллицу, пробелы и прочие гадости >> частично сам виноват в последствиях. > ТакЪ! ПобедимЪ! нужно запретить кирилицу -- а всех кто ей пользуется растерелять > чтобы не мучались. Понапридумывали понимаиишшш всяких букав. Их дело. Хотят - пусть мучаются. Кстати говоря, я был против введения локализованных доменных имён. Но их тоже ввели. Чего уж тут поделать? :)
	Ответить | Правка | ^ к родителю #24 | Наверх | Cообщить модератору

	28. "Обновление nginx 1.4.4 с устранением  уязвимости"	–1 +/–
	Сообщение от pavel_simple (ok) on 22-Ноя-13, 07:16
	>[оверквотинг удален] >>> в функциональном плане, так и в плане безопасности). И это общеизвестно >>> (а кому не известно, с опытом работы сам поймёт, IMHO). Собственно >>> далеко идти не надо - смотри текст новости :). И, IMHO, >>> каждый кто несмотря на это использует кириллицу, пробелы и прочие гадости >>> частично сам виноват в последствиях. >> ТакЪ! ПобедимЪ! нужно запретить кирилицу -- а всех кто ей пользуется растерелять >> чтобы не мучались. Понапридумывали понимаиишшш всяких букав. > Их дело. Хотят - пусть мучаются. > Кстати говоря, я был против введения локализованных доменных имён. Но их тоже > ввели. Чего уж тут поделать? :) это был сарказм если чё -- но ты себя не ограничивай пиши на наши отупнеты транслитом.
	Ответить | Правка | ^ к родителю #26 | Наверх | Cообщить модератору

	31. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
	Сообщение от Xaionaro (ok) on 22-Ноя-13, 13:58
	>[оверквотинг удален] >>>> далеко идти не надо - смотри текст новости :). И, IMHO, >>>> каждый кто несмотря на это использует кириллицу, пробелы и прочие гадости >>>> частично сам виноват в последствиях. >>> ТакЪ! ПобедимЪ! нужно запретить кирилицу -- а всех кто ей пользуется растерелять >>> чтобы не мучались. Понапридумывали понимаиишшш всяких букав. >> Их дело. Хотят - пусть мучаются. >> Кстати говоря, я был против введения локализованных доменных имён. Но их тоже >> ввели. Чего уж тут поделать? :) > это был сарказм если чё -- но ты себя не ограничивай пиши > на наши отупнеты транслитом. Ненавижу, когда люди пишут транслитом :)
	Ответить | Правка | ^ к родителю #28 | Наверх | Cообщить модератору

	29. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
	Сообщение от Aesthetus Animus (ok) on 22-Ноя-13, 10:46
	> не надо меня в словарь тыкать :) Я не тычу тебя в словарь, а просто показываю вполне приемлеммое использование кириллицы ;-)
	Ответить | Правка | ^ к родителю #23 | Наверх | Cообщить модератору

9. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
Сообщение от бедный буратино (ok) on 20-Ноя-13, 12:50
на именах мы ставим крест inode - поколение next миллиардов номеров файлов хватит на всех!
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

12. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
Сообщение от Sw00p aka Jerom on 20-Ноя-13, 14:39
try_files в локейшене не спасает ?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

	14. "Обновление nginx 1.4.4 с устранением  уязвимости"	+1 +/–
	Сообщение от erera22 (ok) on 20-Ноя-13, 16:27
	try_files для php файла?
	Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

	25. "Обновление nginx 1.4.4 с устранением  уязвимости"	–1 +/–
	Сообщение от Sw00p aka Jerom on 21-Ноя-13, 16:53
	ну да собственно да location ~ \.php$ { try_files $fastcgi_script_name =404; пс: http://habrahabr.ru/post/100961/ предотвращение баги fix cgi path info
	Ответить | Правка | ^ к родителю #14 | Наверх | Cообщить модератору

20. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
Сообщение от PyMonty on 21-Ноя-13, 01:27
"экспериментальный выпуск nginx 1.5.7" В чем его, простите, экспериментальность? На nginx.org написано: "основная версия     nginx-1.5.7".
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

32. "Обновление nginx 1.4.4 с устранением  уязвимости"	+/–
Сообщение от пантелей on 04-Ноя-14, 14:27
Обновить
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема