NGINX und NGINX Plus zum Schutz vor CVE-2015-1635

Owen GarrettSenior Director, Produktmanagement

Am 14. April veröffentlichte Microsoft eine Sicherheitswarnung – die inzwischen unter CVE-2015-1635 geführt wird – zu einer Schwachstelle, die möglicherweise die Ausführung von Remotecode ermöglicht, wenn ein Angreifer eine speziell präparierte HTTP-Anfrage an ein betroffenes Windows-System sendet. Wenn Sie Ihre produktiven Windows-Server nicht sofort patchen können, können NGINX und NGINX Plus Sie vor Angriffen schützen.

Zum Zeitpunkt der Erstellung dieses Artikels wurden noch keine konkreten Details zu der Sicherheitslücke veröffentlicht. Berichten zufolge versuchen Angreifer jedoch, anfällige Systeme zu finden, indem sie HTTP-Anfragen mit sehr großen Range-Headern senden. Dies kann einen Pufferüberlauf auslösen und das Windows-System zum Absturz bringen.

Benutzern wird dringend empfohlen, den Patch von Microsoft anzuwenden, um diese Sicherheitslücke zu schließen. Wenn Sie den Patch jedoch nicht auf allen Ihren Produktionssystemen installieren können und NGINX oder NGINX Plus für den Lastenausgleich oder als Proxy für den Datenverkehr zu diesen Systemen verwenden, genügt eine einfache Konfigurationsänderung, um die speziellen Anfragen an anfällige Systeme abzufangen und zu korrigieren.

Aufklärungsverkehr erkennen und verarbeiten

Mattias Geniar hat den Angriffsverkehr analysiert und berichtet, dass HTTP-Anfragen mit einem großen Bytebereich im Range-Header den Absturz auslösen:

GET / HTTP/1.1rnHost: stuffrn
Range: bytes=0-18446744073709551615rn
rn

Die einfachste Lösung besteht darin, mit der Direktive „proxy_set_header“ den Header „Range“ auf "" (die leere Zeichenfolge) zu setzen. Dadurch wird der Header praktisch gelöscht, bevor die HTTP-Anfrage an den Windows-Server weitergeleitet wird, der in der Direktive „proxy_pass“ angegeben ist:

server {    listen 80;
 
    location / {
        proxy_set_header Range "";
        proxy_pass http://windowsserver:80;
    }
}

Wenn Ihre Anwendung Bytebereichsanfragen unterstützen muss, können Sie die Direktive map verwenden, um jede Zeichenfolge, die einer großen Ganzzahl ähnelt, durch eine leere Zeichenfolge zu ersetzen, bevor Sie mit der Direktive proxy_set_header den Header Range festlegen:

map $http_range $saferange {    "~d{10,}" "";  # if it matches a string of 10 or more integers, remove it
    default $http_range;
}
 
server {
    listen 80;
 
    location / {
        proxy_set_header Range $saferange;
        proxy_pass http://windowsserver:80;
    }
}

Alternativ können Sie den HTTP-Code 444 zurückgeben, wenn der Wert im Range-Header einer großen Ganzzahl ähnelt. Der Code 444 weist NGINX und NGINX Plus an, die Clientverbindung sofort zu schließen, ohne etwas zurückzugeben.

server {    listen 80;
 
    if ($http_range ~ "d{9,}") {
        return 444;
    }
 
    location / {
        proxy_pass http://windowsserver:80;
    }
}

Schützen Sie sich und installieren Sie den Patch. Falls dies jedoch nicht sofort möglich ist, können NGINX und NGINX Plus dabei helfen, die potenzielle Sicherheitslücke vorübergehend zu schließen.

Wenn Sie NGINX Plus ausprobieren möchten, starten Sie noch heute Ihre kostenlose 30-Tage-Testversion oder kontaktieren Sie uns für eine Demo.

Über den Autor

Owen GarrettSenior Director, Produktmanagement

Weitere Blogbeiträge von Owen Garrett