nginx HTTP请求源码泄露和拒绝服务漏洞

发布时间:2010-06-14
影响版本:

nginx 0.7.x/0.8.x

漏洞描述:
nginx是多平台的HTTP服务器和邮件代理服务器

nginx服务器无法处理交换数据流(ADS),将其处理为普通文件的数据量。攻击者可以使用filename::$data的形式读取并下载Web应用文件的源码;此外如果在HTTP请求中添加了目录遍历序列的话,就可以覆盖内存寄存器,导致拒绝服务。

测试方法:
本站提 供程序(方法)可能带有攻击性,仅供安全研究与教学之用,风险自负!

安全建议:

厂商补丁:
Igor Sysoev
-----------
目前厂商已经发布了升级补丁以修复这个安全问题,请到厂商的主页下载: