node.js - Node.js 服务器中的安全漏洞

Question

我的网站在 node.js 和 express 服务器上运行。我了解到该网站存在以下漏洞。

远程攻击者可以发送特制的 HTTP 请求并强制它针对某些流量边缘模式的错误连接进行日志记录。这会导致内存池同时用于单独的连接并触发影响。

正是 HTTP 标头利用的间隔在服务器进程中创建溢出以覆盖部分堆栈以通过覆盖下一个操作的字节来回退请求处理。

一旦针对暴露的端点进行了相应的制作；环境会出现故障。

我用谷歌搜索了这个漏洞，并知道这是因为Apache HTTP Server版本易受攻击。但是我的网站在 nginx 上运行，而不是在 apache 上。

我已经使用 nginx 将我的应用程序端口从 3000 转发到 80。

为了安全起见，网站也有 cloudflare 设置。

如何缓解此漏洞？

Answer 1

首先，CVE 明确表示

1. 受影响的软件：Apache HTTPd
2. 版本：2.4.20 到 2.4.43
3. 必须启用跟踪/调试。

因此，后端是 Node.js 还是其他东西都没有关系。而且您使用的是 nginx 而不是 Apache HTTP，所以这对您来说并不重要。但如果您使用 apache，那么只需升级到 >2.4.43 即可解决问题。Apache httpd 2.4.46 于 2020 年发布，因此如果您正在使用它，升级 apache 是有意义的。