全球70%网站使用的编程语言“PHP”之后，主要网络服务运行工具“Node.js”也被曝存在致命安全漏洞。黑客无需密码，仅发送一个经过构造的压缩文件，即可远程控制服务器。
安全企业Theori于26日表示，Node.js中可能出现的漏洞“Node2Shell”可将服务器控制壳（Shell）完全交出，并发布了应对指南。该漏洞由OpenAI于今年2月上报，8个月后的本月21日（当地时间）修正版发布，近期其严重性才为业界所知。美国国家漏洞数据库（NVD）评定的危险度为“致命”（9.2分）。
Node.js是一种可在服务器端运行原本用于网页浏览器的JavaScript（为网页添加功能的编程语言）的程序，据知在Netflix、亚马逊等6.5%的网站中用于处理登录、搜索请求等部分服务器功能。
安全业界指出，攻击代码已经流传出去，必须尽快采取应对措施。修正版发布仅5小时后，开发者代码共享网站GitHub上就出现了分析文章，次日美国安全企业Imperva便验证了远程控制的可行性，攻击手法正快速公开。
Theori人工智能与网络研究团队负责人林俊浩（音）表示：“漏洞公开后不到一天，可用于攻击服务器的程序就被制作并发布到互联网上”，“防守方的服务器管理员必须实时掌握服务开发使用了何种工具、版本是什么，这是基本功。”
金在亨 [email protected]
评论 (0)