昨晚上 nginx 0day 漏洞？搜了一圈没有明确的验证方式呢？

› NGINX

› NGINX Trac

› 3rd Party Modules

› Security Advisories

› CHANGES

› OpenResty

› ngx_lua

› Tengine

在线学习资源

› NGINX 开发从入门到精通

NGINX Modules

› ngx_echo

This topic created in 1556 days ago, the information mentioned may be changed or developed.

今早上，某国有项目信息部惊抓抓的要求所有服务商确认 nginx 版本，一上班就开始找问题。在内网和外网都翻了一下，没看到明确的问题呢？截止目前了解到的情况，如果有问题也是 Nginx 的 ldap 插件有问题，好像也不会构成全面 nginx 的 0day 漏洞吧。有大佬了解情况么？

他们在 GitHub 自述文件中补充道：“我们强烈建议禁用该 ldapDaemon.enabled 属性。如果您打算设置它，请务必 ldapDaemon.ldapConfig 使用正确的信息更改属性标志，并且不要将其保留为默认值。这可以改变，直到 Nginx 更新补丁！

参考链接 NGINX 出 0day 了。。很多人要遭殃了 Nginx 0day LDAP RCE 漏洞情报

15 replies • 2022-08-01 16:06:31 +08:00

H3x

Aug 1, 2022

https://www.nginx.com/blog/addressing-security-weaknesses-nginx-ldap-reference-implementation/
这是官方的说明

morphyhu

Aug 1, 2022

不用 LDAP 基本没影响.

adamwhite

Aug 1, 2022

@H3x 所以实质，大家目前正在使用的，只要没有引用 ldap 的插件，就确实没有问题是么？

adamwhite

Aug 1, 2022

@adamwhite NGINX Open Source and NGINX Plus are not themselves affected, and no corrective action is necessary if you do not use the reference implementation.

ltkun

Aug 1, 2022 via Android

不是辟谣了吗

eason1874

Aug 1, 2022

"通过监测发现 Nginx<=1.21.5 存在 Oday 漏洞"

1.21.5 是去年的版本，今年发了三版，都没说什么 0day

http://nginx.org/en/CHANGES
http://nginx.org/en/security_advisories.html

JavaFirstMaster

Aug 1, 2022

MD, 今天早上才找你算是仁慈了。我这周六晚上找过来了，折腾了一天

1daydayde

Aug 1, 2022

早上查了一下，一脸懵逼

KingFong

Aug 1, 2022

周六傍晚被通知的，当时信息量更少，全网搜了半天啥也没收获。

yor1g

Aug 1, 2022

所以是啥漏洞还有什么 log4j2 也有都没说啥漏洞就只叫升级

matepi

Aug 1, 2022

感觉是为了传播几个钓鱼的假检测工具、攻击队散播的消息？

https://mp.weixin.qq.com/s?__biz=MzIxMTg1ODAwNw==&mid=2247490415&idx=1&sn=9430dce59be87584273ed91108bb6a87&chksm=974fbc57a0383541acb03910d3dd3eb741717795a6d0d169d8b40b2f3728fc876da4e486e1bb&scene=126&sessionid=1659204593&key=e1ce1dd8aaf91119f27e47fc7d7c37d0ed26bec2efda22e839d27e8fa0099a868ae456c3ae7ecd05aaf5b0321a080f5364ab80b93fcc73ad65df07470e6ce7c1d060182e18aca3818565641f8f35eb7c215cc8052ddea5a4b2c40d75beb7acfc96c751808af8bfb2dc06c98976799ac0cf7c804c74e0f1770866c6412cc2b2db&ascene=15&uin=NTY2NTA4NjQ%3D&devicetype=Windows+Server+2016+x64&version=6307001e&lang=zh_CN&session_us=gh_0111d52251cf&exportkey=A0Y7oWOF0RCVKfxXgayDJgQ%3D&acctmode=0&pass_ticket=iYRgDlbnBcijnCJgWNhKRcNvUkVTmaTzzL6mOd7my8fRYa7%2B0jLezl7ZGnHIiSEW&wx_header=0&fontgear=2

Gamble

Aug 1, 2022

那是拿着之前的漏洞当 0day ，不用 LDAP 的话没啥影响；而且利用条件复杂，实际危害有限

8023

Aug 1, 2022

攻击队炸鱼而已，你们啊，不要想喜欢弄个大新闻，还是要提高自己的知识水平，懂我的意思？

tomychen

Aug 1, 2022

官方并没有更新补丁和公告

xiancai

Aug 1, 2022

说起这个我就来气，周六晚上在外面吃饭，看到消息急忙赶回家，生怕有漏洞，连夜搞方案到半夜。结果搞半天炸鱼。