默认情况下,Nginx的世界可读日志设置

默认情况下,Nginx的世界可读日志设置

Nginx的(明显的引擎-X),一个轻量级的替代品,当它涉及到Apache Web服务器,安装默认情况下,是世 […]

2013-11-08

Nginx的(明显的引擎-X),一个轻量级的替代品,当它涉及到Apache Web服务器,安装默认情况下,是世界可读的访问和错误日??志。有关的问题,安全咨询Intitially指出,影响低,但研究人员已经发现,CloudPassage Redspin的问题,具有更广泛的影响力,包括基于电流源装置。
容易部署,lighweight替代到Apache当它涉及到Web服务器,Nginx的没有资源税,并能够轻松处理高流量域。的virsitility使得世界各地的开发人员,以及与投资者的最爱 – 谁上个月下降了1000万美元的资金对公司的喜爱。许多运行Nginx的网络上最流行的网站,其中包括脸谱,葫芦,Dropbox的,CloudFlare的,GitHub上,。根据Netcraft的顶部百万最繁忙的网站,15%的运行平台。
然而,Nginx的是它部署到生产环境之前,需要考虑的一个很独特的和意外的风险。上周,美国CERT发布CVE-2013-0337,Nginx的创建与access.log和error.log中突出的问题 – 它们安装与世界可读权限。
[ 日志管理基本 ]
运行Gentoo Linux的咨询,US-CERT指出,Nginx的1.3.13及早期版本是脆弱的,但是大卫萧伯纳首席技术官Redspin,和CloudPassage公司的应用安全研究中心主任安德鲁干草,发现了一个更大的受影响版本计数比CVE披露。
根据他们的测试,Nginx的1.5.6,1.4.3,1.2.9安装时,从源世界可读权限,默认情况下,还设置。此外,亚马逊的Nginx和版本在Ubuntu Linux实现做太多,它可能是其他“操作系统特定的软件包组合问题的CVE suceptible海伊指出,”在这个问题上的一份报告。
当被问及这个问题时,Nginx的的马克西姆Dounin告诉,一个研究员,他的公司被罚款日志的默认权限如何设置。
“如果在一个特定的配置,更严格的许可是必需的,这可能通过建立相应的日志文件所需的权限,或通过限制访问日志文件的目录,”Dounin说。
但问题有多严重?首先,它是负责安全的做法违反了信息访问,但在同一时间,它是不是圣杯漏洞熙告诉CSO。但在他看来“的默认配置确实给生产环境太大出入。”
Nginx是受欢迎,人气逐月增长。那么这个问题是什么意思组织风险明智的,它如何能影响他们的安全姿势?
“我认为这完全取决于如何配置你的Web应用程序,写信给nginx的日志的最后一件事,你要的是你的应用程序公开访问的系统上的任何人到一个日志文件,记录敏感的PII或其他受监管数据。 “海伊解释。
Nginx的(明显的引擎-X),一个轻量级的替代品,当它涉及到Apache Web服务器,安装默认情况下,是世界可读的访问和错误日??志。有关的问题,安全咨询Intitially指出,影响低,但研究人员已经发现,CloudPassage Redspin的问题,具有更广泛的影响力,包括基于电流源装置。
容易部署,lighweight替代到Apache当它涉及到Web服务器,Nginx的没有资源税,并能够轻松处理高流量域。的virsitility使得世界各地的开发人员,以及与投资者的最爱 – 谁上个月下降了1000万美元的资金对公司的喜爱。许多运行Nginx的网络上最流行的网站,其中包括脸谱,葫芦,Dropbox的,CloudFlare的,GitHub上,。根据Netcraft的顶部百万最繁忙的网站,15%的运行平台。
然而,Nginx的是它部署到生产环境之前,需要考虑的一个很独特的和意外的风险。上周,美国CERT发布CVE-2013-0337,Nginx的创建与access.log和error.log中突出的问题 – 它们安装与世界可读权限。
“我认为这完全取决于如何配置你的Web应用程序,写信给nginx的日志的最后一件事,你要的是你的应用程序公开访问的系统上的任何人到一个日志文件,记录敏感的PII或其他受监管数据。 “海伊解释。