HACK NGINX+DAV

[Maxim Dounin]

Hello!

On Fri, Dec 02, 2016 at 12:07:41PM -0500, itcod wrote:

> Обнаружил уязвимость. Надеюсь не я первый.... и уже есть таблетка.
> Команда DELETE (модуля WEBDAV) исполняется мастер-процессом nginx от
> пользователя root. Так как по умолчанию мастер-процесс стартует от рута для
> доступа к портам 80 & 443 (0-1024).

Master-процесс читает конфигурационные файлы и запускает рабочие 
процессы.  Именно рабочие процессы обрабатывают все 
пользовательские запросы, и работают они от имени заданного в 
конфиге пользователя.

Никакие пользовательские запросы в master-процесс не попадают, вы 
ошибаетесь.

-- 
Maxim Dounin
http://nginx.org/