升级代理 NGINX 服务器的内核是否足以防止 CVE-2017-6214 漏洞利用？

Question

我们的安全部门最近要求我们升级我们的服务器，以避免可能由http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-6214引起的攻击

现在，我们有很多这样的服务器，但所有请求都通过一个 NGINX 代理。那么问题来了，只升级这个就够了吗？

据我了解，如果 TCP 包包含特殊的 URG 标志，则该漏洞存在于 TCP 级别。我是否理解正确，NGINX 作为代理工作的方式如下：

• 接收 TCP 包并将它们组合为 HTTP 请求。
• 选择适当的后端服务器将其发送到。
• 发送请求，生成自己的 TCP 包，安全且不包含任何易受攻击的信息？或者情况并非如此，NGINX只是重新发送它收到的TCP包？

Answer 1

是的，当 nginx 配置为反向代理时，客户端和后端服务器之间没有直接的 TCP/IP 连接。

Nginx 运行在 OSI 模型的第 7 层，即应用层，当它收到有效的 HTTP 请求时，它将代表客户端向适当的后端服务器发出自己的 HTTP 请求。远程客户端无法在 TCP/IP 级别（OSI 模型的第 3/4 层）操纵 nginx 和后端服务器之间发生的事情。