nginx漏洞都有啥漏洞

nginx 不是漏漏洞没漏洞，只是洞都它不像某些应用服务器那样三天两头爆大雷。可一旦出事，有啥往往就是漏漏洞配置写错、版本太老，洞都或者对某个模块理解不到位。有啥我印象最深的漏漏洞是 2019 年那个 HTTP/2 漏洞（CVE-2019-9511 到 9516），当时 nginx 官方紧急发补丁，洞都因为攻击者只要发几个特制请求就能把内存吃光，有啥直接 DoS。漏漏洞那会儿我还在上一家公司，洞都运维半夜爬起来升级，有啥边升边骂：谁让咱们开着 HTTP/2 又没限制并发流。漏漏洞

整数溢出和越界读，洞都老毛病了

nginx 用 C 写的有啥，C 的坑它一个都跑不掉。2017 年的 CVE-2017-7529，范围过滤器（range filter）处理恶意 Range 头时整数溢出，能泄露内存里的数据。攻击者构造一个负的 range 值，nginx 算偏移量时直接翻车。这个漏洞影响 0.5.6 到 1.13.2 的所有版本，跨度十二年。你想想，十二年里有多少服务器跑着带洞的 nginx？修复方式也简单，升级到 1.13.3 以上。但现实是，很多老系统动不了，只能靠 WAF 挡。

还有 CVE-2019-20372，错误页面处理不当，攻击者能通过特制请求让 nginx 返回任意文件内容。不过这个利用条件比较苛刻，得配合特定配置。我当时在测试环境复现过，折腾了一下午才成功，感觉实战价值有限，但漏洞就是漏洞，该修还得修。

解析器漏洞：你信任的输入全是雷

nginx 要解析 HTTP 请求、解析 DNS、解析 MP4 文件（如果开了 mp4 模块）。每个解析器都是潜在的攻击面。2018 年的 CVE-2018-16843 和 16844，HTTP/2 实现里的内存泄漏和 excessive memory 问题，攻击者发几个请求就能让 worker 进程内存暴涨。16845 更狠，MP4 模块的越界读，如果服务器上存了恶意 MP4 文件，用户一请求，nginx 就可能崩溃或泄露内存。

DNS 解析器也没逃掉。CVE-2021-23017，nginx 的 resolver 在处理 DNS 响应时存在 off-by-one 堆写漏洞。攻击者控制一个恶意 DNS 服务器，或者中间人劫持 DNS 响应，就能在 nginx 进程里写一个字节。一个字节听起来不多，但堆布局被精确操纵时，一个字节足够改变命运。这个漏洞 CVSS 评分 9.4，相当吓人。修复版本 1.21.0，但很多用 resolver 做动态 upstream 的场景，升级没那么快。

配置错误比漏洞本身更常见

我见过太多 nginx 配置把 alias 和 root 搞混，结果路径穿越，/static../etc/passwd 这种请求直接读到系统文件。这不是 nginx 的漏洞，是人的漏洞。还有 merge_slashes off 加上 rewrite 规则写错，同样能穿越。nginx 官方文档写得清楚，但总有人不看。

另一个经典是 proxy_pass 后面带 URI 和不带 URI 的行为差异。不带 URI 时，location 匹配的部分会被替换掉；带 URI 时，整个路径直接拼上去。很多人栽在这上面，导致后端接口 404 或者意外暴露内部路径。我调这个调了整整一上午，最后发现是 proxy_pass 末尾多了个斜杠。

版本更新不是万能药

nginx 的漏洞修复通常很快，官方补丁一出，各大发行版跟进。但问题在于，很多生产环境跑的是 Docker 镜像里的 nginx，镜像半年不更新，底层库还是老的 OpenSSL。CVE-2014-0160（心脏出血）爆发时，nginx 本身没问题，但它链接的 OpenSSL 有问题，一样泄露内存。所以看 nginx 漏洞不能只看 nginx 本身，得看整个依赖链。

我现在的习惯是，每季度扫一次所有 nginx 实例的版本和编译参数，用 nginx -V 看详细配置。如果发现某个模块根本没用，编译时就去掉，减少攻击面。比如你不需要 MP4 流媒体，就别加 --with-http_mp4_module。少一个模块，少一堆潜在漏洞。

说到底，nginx 漏洞分三类：内存安全类（溢出、越界、UAF）、逻辑解析类（HTTP/2、DNS、range）、配置误用类。前两类靠升级和打补丁，第三类靠人。而人，往往是最不可靠的那一环。

(责任编辑：探索)