Utiliser NGINX et NGINX Plus pour se protéger contre la CVE-2015-1635

Owen GarrettDirecteur senior de la gestion des produits

Le 14 avril, Microsoft a publié une alerte de sécurité concernant une vulnérabilité – désormais référencée sous le nom CVE-2015-1635 – susceptible de permettre l’exécution de code à distance si un attaquant envoie une requête HTTP spécialement conçue à un système Windows affecté. Si vous ne pouvez pas appliquer immédiatement le correctif à vos serveurs Windows de production, NGINX et NGINX Plus peuvent vous aider à vous protéger contre les attaques.

À l’heure où nous écrivons ces lignes, les détails précis de la vulnérabilité n’ont pas été publiés, mais des attaquants tenteraient de repérer les systèmes vulnérables en envoyant des requêtes HTTP contenant des en-têtes Range de très grande taille, susceptibles de provoquer un dépassement de mémoire tampon et de faire planter le système Windows.

Il est vivement recommandé aux utilisateurs d’appliquer le correctif de Microsoft afin de remédier à cette vulnérabilité. Toutefois, si vous ne pouvez pas appliquer le correctif à tous vos systèmes de production et que vous utilisez NGINX ou NGINX Plus pour répartir la charge ou acheminer le trafic vers ces systèmes via un proxy, une simple modification de la configuration suffit pour intercepter et corriger les requêtes spéciales envoyées aux systèmes vulnérables.

Identifier et gérer le trafic de reconnaissance

Mattias Geniar a analysé le trafic de l’attaque et indique que les requêtes HTTP comportant une plage d’octets étendue dans l’en-tête Range provoquent le plantage :

GET / HTTP/1.1rnHost: stuffrn
Range: bytes=0-18446744073709551615rn
rn

La solution la plus simple consiste à utiliser la directive proxy_set_header pour définir l’en-tête Range sur "" (la chaîne vide), ce qui supprime effectivement cet en-tête avant que la requête HTTP ne soit transmise au serveur Windows indiqué par la directive proxy_pass :

server {    listen 80;
 
    location / {
        proxy_set_header Range "";
        proxy_pass http://windowsserver:80;
    }
}

Si votre application nécessite la prise en charge des plages d’octets, vous pouvez utiliser la directive map pour remplacer par une chaîne vide toute chaîne ressemblant à un entier de grande taille, avant d’utiliser la directive proxy_set_header pour définir l’en-tête Range :

map $http_range $saferange {    "~d{10,}" "";  # if it matches a string of 10 or more integers, remove it
    default $http_range;
}
 
server {
    listen 80;
 
    location / {
        proxy_set_header Range $saferange;
        proxy_pass http://windowsserver:80;
    }
}

Vous pouvez également renvoyer le code HTTP « 444 » lorsque la valeur de l’en-tête « Range » ressemble à un entier élevé. Le code « 444 » indique à NGINX et NGINX Plus de fermer immédiatement la connexion client sans rien renvoyer.

server {    listen 80;
 
    if ($http_range ~ "d{9,}") {
        return 444;
    }
 
    location / {
        proxy_pass http://windowsserver:80;
    }
}

Pour rester en sécurité, appliquez le correctif. Si vous ne pouvez pas le faire immédiatement, NGINX et NGINX Plus peuvent vous aider à combler temporairement cette faille potentielle.

Pour essayer NGINX Plus, commencez votre essai gratuit de 30 jours dès aujourd’hui ou contactez-nous pour demander une démonstration.

À propos de l’auteur

Owen GarrettDirecteur senior de la gestion des produits

Autres articles de Owen Garrett