5月9日，CNVD收录了nginx 'ngx_http_parse.c'栈缓冲区溢出漏洞（CNVD-2013-24027，对应CVE-2013-2028），nginx （1.3.9-1.4.0版本）在解析HTTP块时ngx_http_parse_chunked()函数存在异常错误，攻击者可以利用该缺陷造成栈缓冲区溢出，轻则导致拒绝服务，且存在执行系统指令的可能。该漏洞受到了国内外安全界的广泛关注。近日，互联网上披露针对该漏洞的拒绝服务攻击代码(注1)，对相关网站服务器运行安全构成威胁。此外，不排除相关安全研究者近期进一步编写出远程命令执行攻击代码的可能。

目前，nginx 1.5.0、1.4.1版本已修复此漏洞，CNVD提醒采用1.3.9-1.4.0版本的用户及时进行升级或采用官方发布的补丁，避免引发漏洞相关的安全事件。CNVD也将持续关注该漏洞，后续有可能提高该漏洞的安全威胁等级。

nginx 官方发布的补丁：

http://nginx.org/download/patch.2013.chunked.txt



注1：相关代码针对CNVD-2013-24493（对应CVE-2013-2070），但实现原理对CNVD-2013-24027适用。



参考信息： http://www.cnvd.org.cn/flaw/show/CNVD-2013-24027

http://www.cnvd.org.cn/flaw/show/CNVD-2013-24493

http://www.nsfocus.net/vulndb/23631

http://www.nsfocus.net/vulndb/23662