CVE-2024-7347

总结

NGINX 开源版和 NGINX Plus 在 ngx_http_mp4_module 中存在一个漏洞，攻击者可能利用特制的 mp4 文件过度读取 NGINX worker 内存，从而导致其终止。该问题仅在 NGINX 使用 ngx_http_mp4_module 构建，并且在配置文件中使用了 mp4 指令时才会影响 NGINX。此外，仅当攻击者能够触发 ngx_http_mp4_module 处理特制 mp4 文件时，攻击才有可能发生。注意：已达到技术支持终止（EoTS）的软件版本不在评估范围内。

• 1day-archive研究

  对最近披露的 CVE 进行技术深度剖析和根本原因分析——逆向工程补丁、构建概念验证（PoC），并在 1 天窗口期内记录利用技术。