Node.js 服务器中的安全漏洞

Question

我的网站在 node.js 和 express 服务器上运行。我了解到该网站存在以下漏洞。

远程攻击者可以发送特制的 HTTP 请求并强制它针对某些流量的错误连接进行日志记录 边缘图案。这导致内存池的并发使用 分离连接并触发影响。

是 HTTP 标头漏洞利用的间隔导致溢出到 服务器进程覆盖部分堆栈以回退请求 通过覆盖下一个操作的字节进行处理。

一旦对暴露的端点进行了相应的制作；这 环境将出现故障。

我在谷歌上搜索过这个漏洞并知道这是因为 Apache HTTP Server 版本存在漏洞。但是我的网站是在 nginx 上运行的，而不是在 apache 上。

我已使用 nginx 将我的应用程序端口从 3000 转发到 80。

为了安全起见，网站也有 cloudflare 设置。

如何缓解此漏洞？

Answer 1

首先，CVE 明确指出

1. 受影响的软件：Apache HTTPd
2. 版本：2.4.20 到 2.4.43
3. 必须启用跟踪/调试。

所以，后端是 Node.js 还是其他东西都没有关系。而且你使用的是 nginx 而不是 Apache HTTP，所以这对你来说并不重要。但是，如果您使用 apache，那么只需升级到 >2.4.43 即可解决问题。 Apache httpd 2.4.46 于 2020 年发布，因此如果您正在使用它，升级 apache 是有意义的。