KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2013-4547 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
nginx是一款高性能的web服务器，使用非常广泛，其不仅经常被用作反向代理，也可以非常好的支持PHP的运行。
nginx中HTTP请求解析器在处理包含未转义空格字符的URI时存在安全漏洞，允许远程攻击者利用漏洞绕过某些配置中的安全限制。
如可以绕过如下配置的URL访问限制：
location /protected/ {
deny all;
}
通过请求"/foo /../protected/file"(静态文件，但foo后面有一个空格结尾)或采用如下配置：
location ~ \.php$ {
fastcgi_pass ...
}
通过请求"/file \0.php"可绕过限制，未授权访问受限资源。
影响范围
应用：nginx nginx（影响面 Up to (excluding) 1.4.4）
应用：nginx nginx（影响面 Up to (including) 1.5.6）
应用：suse lifecycle_management_server（版本 1.3）
应用：suse studio_onsite（版本 1.3）
应用：suse webyast（版本 1.3）
系统：amazon linux_AMI nginx（影响面 Up to (excluding) 1.4.3-1.14.amzn1）
系统：amazon_AMI nginx（影响面 Up to (excluding) 1.4.3-1.14.amzn1）
系统：debian_10 nginx（影响面 Up to (excluding) 1.4.4-1）
……另有 11 项受影响环境，详见官方公告
解决方案
Nginx 1.5.7, 1.4.4已经修复该漏洞，建议用户下载更新：
http://www.nginx.org
参考信息
http://lists.opensuse.org/opensuse-security-announce/2013-12/msg00007.html
http://lists.opensuse.org/opensuse-updates/2013-11/msg00084.html
http://lists.opensuse.org/opensuse-updates/2013-11/msg00118.html
http://lists.opensuse.org/opensuse-updates/2013-11/msg00119.html
http://mailman.nginx.org/pipermail/nginx-announce/2013/000125.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。