Node.js服务器中存在安全漏洞

Question

我的网站运行在node.js&express服务器。我知道该网站存在以下漏洞。

远程攻击者可以发送特制的HTTP请求，并强制其在错误的连接上对特定流量进行日志记录边缘图案。这导致同时使用的内存池分离连接并触发影响。

正是HTTP标头利用的时间间隔导致溢出到服务器进程覆盖堆栈的一部分以倒带请求通过重写下一个操作的字节进行处理。

一旦对暴露的端点进行了相应的制作；这个环境将出现故障。

我已经在谷歌上搜索了这个漏洞，并了解到这是因为Apache HTTP服务器版本存在漏洞。但我的网站是在nginx上运行的，而不是在apache上。

我已经使用nginx将我的应用程序端口从3000转发到80。

为了安全起见，网站还设置了cloudflare。

如何减轻此漏洞？

Answer 1

首先，CVE明确表示

1. 受影响的软件：Apache HTTPd
2. 版本：2.4.20至2.4.43
3. 必须启用跟踪/调试

因此，后端是Node.js还是其他什么都无关紧要。而且你使用的是nginx而不是Apache HTTP，所以这对你来说并不重要。但是如果您使用apache，那么只需升级到>2.4.43将解决这个问题。Apache httpd 2.4.46于2020年发布，因此如果您正在使用它，升级Apache是有意义的。