Uso de NGINX y NGINX Plus para protegerse contra CVE-2015-1635

Owen GarrettDirector sénior de Gestión de Producto

El 14 de abril, Microsoft emitió una alerta de vulnerabilidad — registrada actualmente como CVE-2015-1635 — sobre un problema que podría permitir la ejecución remota de código si un atacante envía una solicitud HTTP especialmente diseñada a un sistema Windows afectado. Si no puede aplicar de inmediato el parche a sus servidores Windows de producción, NGINX y NGINX Plus pueden ayudarle a protegerse frente a los ataques.

En el momento de redactar este artículo, no se han publicado los detalles específicos de la vulnerabilidad, pero, según se informa, los atacantes están intentando localizar sistemas vulnerables mediante el envío de solicitudes HTTP con rangos muy amplios, lo que puede provocar un desbordamiento del búfer y hacer que el sistema Windows se bloquee.

Se recomienda encarecidamente a los usuarios que apliquen el parche de Microsoft para corregir esta vulnerabilidad. Sin embargo, si no puede aplicar el parche a todos sus sistemas de producción y utiliza NGINX o NGINX Plus para equilibrar la carga o redirigir el tráfico mediante proxy hacia ellos, basta con un sencillo cambio de configuración para interceptar y corregir las solicitudes especiales enviadas a los sistemas vulnerables.

Identificación y gestión del tráfico de reconocimiento

Mattias Geniar ha analizado el tráfico del ataque e informa de que las solicitudes HTTP con un intervalo de bytes amplio en la cabecera Range provocan el fallo:

GET / HTTP/1.1rnHost: stuffrn
Range: bytes=0-18446744073709551615rn
rn

La solución más sencilla es usar la directiva proxy_set_header para establecer la cabecera Range en "" (la cadena vacía), lo que elimina de forma efectiva la cabecera antes de que la solicitud HTTP se reenvíe al servidor Windows especificado por la directiva proxy_pass:

server {    listen 80;
 
    location / {
        proxy_set_header Range "";
        proxy_pass http://windowsserver:80;
    }
}

Si tu aplicación requiere compatibilidad con intervalos de bytes, puedes usar la directiva map para sustituir cualquier cadena que parezca un entero grande por una cadena vacía antes de usar la directiva proxy_set_header para establecer la cabecera Range:

map $http_range $saferange {    "~d{10,}" "";  # if it matches a string of 10 or more integers, remove it
    default $http_range;
}
 
server {
    listen 80;
 
    location / {
        proxy_set_header Range $saferange;
        proxy_pass http://windowsserver:80;
    }
}

Como alternativa, puede devolver el código HTTP 444 cuando el valor del encabezado Range parezca un número entero grande. El código 444 indica a NGINX y NGINX Plus que cierren inmediatamente la conexión del cliente sin devolver nada.

server {    listen 80;
 
    if ($http_range ~ "d{9,}") {
        return 444;
    }
 
    location / {
        proxy_pass http://windowsserver:80;
    }
}

Manténgase protegido y aplique el parche, pero, si no puede hacerlo de inmediato, NGINX y NGINX Plus pueden ayudarle a cerrar temporalmente la posible brecha de seguridad.

Para probar NGINX Plus, inicie hoy mismo su prueba gratuita de 30 días o póngase en contacto con nosotros para solicitar una demostración.

Sobre el autor

Owen GarrettDirector sénior de Gestión de Producto

Más artículos de Owen Garrett