توسعه‌دهندگان NginX برای رفع آسیب‌پذیری‌های مختلف که منجر به حمله DOS بر روی وب سرور NginX می‌شود، به‌روزرسانی امنیتی را منتشر کردند. NginX سروری است که به‌عنوان پروکسی HTPP، پروکسی معکوس، سرور پروکسی ایمیل و سرور پروکسی عمومی TCP/UDP مورداستفاده قرار می‌گیرد. طبق آخرین آمار netcraft این وب سرور در ۲۵.۲۸% وب‌سایت‌های پربازدید مورداستفاده قرار می‌گیرد.
تیم توسعه NginX نسخه‌های ۱.۱۵.۶ و ۱.۱۴.۱ را برای رفع دو آسیب‌پذیری در پیاده‌سازی HTTP/2 را که می‌تواند در نسخه‌های ۱.۹.۵ تا ۱.۱۵.۵ شرایط حملات DOS را ایجاد کند، منتشر کرد. دو نقص امنیتی که بر پیاده‌سازی HTTP/2 در NginX تأثیر می‌گذارد و با شناسه CVE-2018-16843 و CVE-2018-16844 نمایه شده‌اند، به ترتیب باعث افزایش مصرف حافظه و مصرف CPU می‌شود.
این نقص بر نسخه NginX که به همراه ماژول ngx_http_v2 کامپایل شده است در حالتی که گزینه “http2” از دستور “listen” در فایل پیکربندی مورداستفاده قرار گیرد، به وجود می‌آید.
همچنین تیم NginX حفره مربوط به ماژول ngx_http_mp4_module (CVE-2018-16845) را که می‌توانست توسط مهاجم با کرش کردن پردازش‌ها مورد سوءاستفاده و نشت حافظه شود، وصله کرد. این نقص امنیتی تنها بر روی NginX ای که با ماژول ngx_http_mp4_module کامپایل شده است و درصورتی‌که دستورالعمل MP4 در فایل پیکربندی مورداستفاده قرارگرفته باشد، تأثیر می‌گذارد علاوه بر این، تنها در صورتی امکان‌پذیر است که مهاجم بتواند پردازش یک فایل mp4ای که به‌صورت ویژه ساخته‌شده است را با ngx_http_mp4_module اجرا کند.
پایگاه Shodan تا به امروز بیش از یک میلیون سرور وب NginX را وصله نشده نشان می دهد.
نقص CVE-2018-16845 بر نسخه‌های ۱.۱.۳ و نسخه‌های بعدی و ۱.۰.۷ و نسخه‌های بعدی از NginX را تحت تأثیر قرار می‌دهد، تیم NginX آسیب‌پذیری‌های یادشده را با انتشار نسخه‌های ۱.۱۵.۶ و ۱.۱۴.۱ وصله کرد.
