根据在服务器响应标头中自我报告的版本，远程主机上运行的 nginx 版本为0.5.6 或更高版本、低于 1.6.2 的 1.6.x 或低于 1.7.5 的 1.7.x。因此，它受到 SSL 会话或 TLS 会话票证密钥处理错误的影响。文件“event/ngx_event_openssl.c”中存在一个缺陷，可允许远程攻击者获取敏感信息或控制会话。此问题仅影响具有多个“server{}”配置（这些配置共享“ssl_session_cache”或“ssl_session_ticket_key”的相同值）的服务器。

请注意，扫描程序并未测试这些问题，而是仅依据应用程序自我报告的版本号进行判断。

- 适用于 CVE-2014-3616 的安全补丁

- 创建 nginx 文件系统子程序包

请注意，Tenable Network Security 已直接从 Fedora 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Antoine Delignat-Lavaud 发现，如果将共享的 SSL 会话缓存或相同 TLS 会话票证密钥用于多个“服务器”区块，则可以在不相关的上下文中重用 SSL 会话。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

Antoine Delignat-Lavaud 和 Karthikeyan Bhargavan 发现可以在不相关的上下文中重用缓存的 SSL 会话，从而允许特权网络位置的攻击者对某些配置进行虚拟主机混淆攻击。

nginx 项目报告：

安全：如果将共享的 SSL 会话缓存或相同 TLS 会话票证密钥用于多个“服务器”区块，则可以在不相关的上下文中重用 SSL 会话 (CVE-2014-3616)。

根据在服务器响应头中自我报告的版本，远程主机上运行的 nginx 版本为0.5.6 或更高版本、低于 1.6.2 的 1.6.x 或低于 1.7.5 的 1.7.x。因此，它受到 SSL 会话或 TLS 会话票证密钥处理错误的影响。文件“event/ngx_event_openssl.c”中存在一个缺陷，可允许远程攻击者获取敏感信息或控制会话。

请注意，此问题仅影响具有多个“server{}”配置（这些配置共享“ssl_session_cache”或“ssl_session_ticket_key”的相同值）的服务器。

远程主机受到 GLSA-201502-06 中所述漏洞的影响（nginx：信息泄露）

多个服务器使用同一共享的 ssl_session_cache 或 ssl_session_ticket_key 时，在 nginx 中发现一个 SSL 会话固定漏洞。
 影响：

远程攻击者可从中获取敏感信息。
 变通方案：

目前无任何已知的变通方案。

远程 Ubuntu 14.04 LTS 主机上安装的程序包受到 USN-2351-1 公告中提及一个漏洞影响。

    Antoine Delignat-Lavaud 和 Karthikeyan Bhargavan 发现 nginx 未正确重用缓存的 SSL 会话。攻击者可能会在某些配置中利用此问题，以获取对其他虚拟主机中的信息的访问权限。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

在 nginx 中发现一个虚拟主机混淆问题，允许将一个源的 HTTPS 连接重定向至其他源的虚拟主机。这会导致各种问题，例如 cookie 窃取和会话劫持。可以从跨站脚本缺陷、引诱用户访问恶意 URL 等行为来触发。

更新后的 nginx 程序包修复了安全漏洞：

发现 nginx 的实验性 SPDY 实现中存在一个缺陷，可能允许攻击者使用特别构建的请求在工作线程进程中造成堆内存缓冲区溢出，可能导致任意代码执行 (CVE-2014-0133)。

Antoine Delignat-Lavaud 和 Karthikeyan Bhargavan 发现可以在无关的上下文中重用缓存的 SSL 会话，这允许处于特权网络位置的攻击者在某些配置中实施虚拟主机混淆攻击 (CVE-2014-3616)。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
98959	Nginx < 1.7.5 SSL 会话重用	Web App Scanning	Component Vulnerability	2018/11/5	2024/1/3	medium
98960	Nginx < 1.6.2 SSL 会话重用	Web App Scanning	Component Vulnerability	2018/11/5	2024/1/3	medium
78243	Fedora 20：nginx-1.4.7-3.fc20 (2014-11415)	Nessus	Fedora Local Security Checks	2014/10/11	2021/1/11	medium
82201	Debian DLA-55-1：nginx 安全更新	Nessus	Debian Local Security Checks	2015/3/26	2021/1/11	medium
77762	Debian DSA-3029-1：nginx - 安全更新	Nessus	Debian Local Security Checks	2014/9/22	2021/1/11	medium
77975	Fedora 21：nginx-1.6.2-2.fc21 (2014-11251)	Nessus	Fedora Local Security Checks	2014/9/30	2021/1/11	medium
78242	Fedora 19：nginx-1.4.7-3.fc19 (2014-11370)	Nessus	Fedora Local Security Checks	2014/10/11	2021/1/11	medium
77717	FreeBSD：nginx -- 向 SSL 会话注入命令漏洞 (77b784bb-3dc6-11e4-b191-f0def16c5c1b)	Nessus	FreeBSD Local Security Checks	2014/9/17	2021/1/6	medium
78386	nginx < 1.6.2 / 1.7.5 SSL 会话重用	Nessus	Web Servers	2014/10/13	2022/4/11	medium
81229	GLSA-201502-06：nginx：信息泄露	Nessus	Gentoo Local Security Checks	2015/2/9	2021/1/11	medium
77808	Ubuntu 14.04 LTS：nginx 漏洞 (USN-2351-1)	Nessus	Ubuntu Local Security Checks	2014/9/23	2024/8/27	high
78364	Amazon Linux AMI：nginx (ALAS-2014-421)	Nessus	Amazon Linux Local Security Checks	2014/10/12	2018/4/18	medium
82347	Mandriva Linux 安全公告：nginx (MDVSA-2015:094)	Nessus	Mandriva Local Security Checks	2015/3/30	2021/1/14	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium

medium

medium

high

medium

medium