Nginx कैश सीमा से बाहर पढ़ने की भेद्यता (CVE-2017-7529)

भेद्यता का सिद्धांत

संदर्भ पठन:

• https://cert.360.cn/detailnews.html?id=b879782fbad4a7f773b6c18490d67ac7
• http://galaxylab.org/cve-2017-7529-nginx%E6%95%B4%E6%95%B0%E6%BA%A2%E5%87%BA%E6%BC%8F%E6%B4%9E%E5%88%86%E6%9E%90/

Nginx जब रिवर्स प्रॉक्सी साइट के रूप में काम करता है, तो आमतौर पर कुछ फ़ाइलों को कैश करता है, विशेष रूप से स्थैतिक फ़ाइलों को। कैश किए गए भाग फ़ाइलों में संग्रहीत होते हैं, और प्रत्येक कैश फ़ाइल में “फ़ाइल हेडर” + “HTTP रिस्पॉन्स हेडर” + “HTTP रिस्पॉन्स बॉडी” शामिल होता है। यदि दूसरा अनुरोध उस कैश फ़ाइल से मेल खाता है, तो Nginx सीधे उस फ़ाइल से “HTTP रिस्पॉन्स बॉडी” उपयोगकर्ता को लौटा देगा।

यदि मेरे अनुरोध में Range हेडर शामिल है, तो Nginx मेरे द्वारा निर्दिष्ट start और end स्थान के अनुसार निर्दिष्ट लंबाई की सामग्री लौटाएगा। और यदि मैं दो नकारात्मक स्थान बनाता हूँ, जैसे (-600, -9223372036854774591), तो नकारात्मक स्थान का डेटा पढ़ा जा सकता है। यदि यह अनुरोध फिर से कैश फ़ाइल से मेल खाता है, तो संभवतः कैश फ़ाइल में “HTTP रिस्पॉन्स बॉडी” से पहले के “फ़ाइल हेडर”, “HTTP रिस्पॉन्स हेडर” आदि को पढ़ा जा सकता है।

भेद्यता का पुनरुत्पादन

परीक्षण वातावरण चलाएँ:

docker-compose up -d

http://your-ip:8080/ पर जाएँ, आप Nginx का डिफ़ॉल्ट पृष्ठ देख सकते हैं, यह पृष्ठ वास्तव में 8081 पोर्ट के रिवर्स प्रॉक्सी की सामग्री है।