פגיעות קריטית גבוהה שנקבעה בתוכנת שרת אינטרנט של Nginx

צוות הפיתוח שמאחורי תוכנת האינטרנט הפתוח Nginx של קוד פתוח פרסם עדכוני אבטחה ביום שלישי כדי לטפל בפגיעות קריטית מאוד שיכולה להיות מנוצלים על ידי התוקפים מרחוק כדי לבצע קוד שרירותי על השרתים רגישים.

מזהה כ- CVE-2013-2028, הפגיעות היא הצפת מאגר מבוסס מחסנית והוצגה לראשונה בגירסת Nginx 1.3.9. פגם קיים גם בגרסה 1.4.0 יציבה שפורסמה בחודש שעבר.

הבאג, אשר דורג כבעל חשיבות קריטית על ידי חברת ניהול הפגיעות Secun ia, תוקנה גרסה חדשה Nginx 1.4.1 יציבה ו Nginx 1.5.0 גרסת הפיתוח. ניתן לנצל את הפגיעות על-ידי תוקפים זדוניים על-ידי שליחת נתחי HTTP בעלי מבנה מיוחד לשרת Nginx חשוף.

[קריאה נוספת: כיצד להסיר תוכנות זדוניות ממחשב Windows שלך]

ניצול מוצלח עלול להוביל לביצוע קוד שרירותי ולפשרת מערכת, אמר Secunia ביועצים שלה.

Nginx מפותחת עם ביצועים ושימוש בזיכרון נמוך בראש והוא יכול לשמש כשרת HTTP, כשרת proxy הפוכה וכאיזון עומס.

Nginx היא תוכנת שרת האינטרנט השלישית הנפוצה ביותר באינטרנט לאחר אפאצ 'י ומיקרוסופט IIS עם נתח שוק של מעל 15 אחוזים, על פי שרת אינטרנט האחרונות סקר של חברת שירותי האינטרנט Netcraft.

הפופולריות הגוברת של התוכנה יש, עם זאת, גם משך את תשומת הלב של פושעי אינטרנט. ביום שלישי, חוקרים של ספק האבטחה ESET דיווחו על גילוי של תוכנית אחורית מתוחכמת שתוכננה במיוחד עבור שרתי Nginx. קיומו של תוכנית זדונית זו מעיד על כך שסייבר-פשיסטים כבר אינם מכוונים רק לתוכנות הפופולריות ביותר