NGINX被MP4文件攻破：8.5分漏洞讓視頻成攻擊入口

一個視頻文件能讓服務器直接癱瘓，甚至變成黑客的跳板。這不是電影情節(jié)，是上周剛公開的CVE-2026-32647漏洞——CVSS 4.0評分8.5，距離滿分只差1.5分。

一個模塊的"越界"行為

漏洞藏在NGINX的MP4流媒體模塊里。這個ngx_http_mp4_module負責處理視頻文件的偽流播放，讓用戶能拖動進度條看片。但當它遇到精心構造的MP4文件時，會觸發(fā)CWE-125類型的越界讀取——簡單說，就是程序讀了不該讀的內(nèi)存地址。

攻擊者上傳惡意MP4，NGINX工作進程解析時發(fā)生緩沖區(qū)溢出或下溢。進程當場崩潰，服務中斷。更麻煩的是，這種內(nèi)存損壞可以被利用來執(zhí)行任意代碼——從拒絕服務到遠程控制，只差一步利用鏈。

F5安全公告里有個細節(jié)：漏洞完全局限在數(shù)據(jù)平面，控制平面不受影響。這對運維人員是個好消息——管理接口不會直接暴露，但對外提供視頻服務的業(yè)務線已經(jīng)站在懸崖邊。

發(fā)現(xiàn)漏洞的是Aisle Research的Xint Code和Pavel Kohout。兩人從去年底開始協(xié)調(diào)披露流程，直到3月補丁就緒才公開細節(jié)。這種負責任的披露節(jié)奏，讓管理員有了緩沖期。

誰中招？看配置說話

不是所有NGINX用戶都危險。漏洞觸發(fā)需要兩個條件同時滿足：編譯時包含MP4模塊，配置文件中啟用了mp4指令。

NGINX Plus用戶風險更高——這個模塊是默認自帶的。版本R32到R36全部中招，覆蓋了過去兩年多的發(fā)行版。開源版用戶相對安全，除非管理員手動編譯并啟用了該模塊。

補丁矩陣已經(jīng)明確：Plus版修復在R36 P3、R35 P2、R32 P5；開源版1.28.3和1.29.7堵住了洞。受影響版本跨度從1.1.19到1.29.6，差不多14年的代碼歷史。

F5同時澄清了產(chǎn)品線邊界：BIG-IP、BIG-IQ、F5OS、Distributed Cloud這些兄弟產(chǎn)品完全不受影響。漏洞只針對NGINX核心服務器的特定模塊。

應急方案：先關掉，再升級

如果維護窗口排不開，F(xiàn)5給了臨時緩解措施——直接禁用MP4模塊。操作不復雜：登錄服務器，找到/etc/nginx下的配置文件，把所有server和location塊里的mp4指令用#注釋掉。

改完配置別急著重啟，先用sudo nginx -t檢查語法。確認無誤后執(zhí)行優(yōu)雅重載，業(yè)務不會中斷。這種"外科手術式"的應急處理，比全線停機升級務實得多。

但緩解終究是緩解。安全團隊的核心任務還是推動正式補丁，特別是那些對外提供視頻點播、在線教育、直播回放的服務。MP4是互聯(lián)網(wǎng)視頻的事實標準，這個模塊的啟用率可能比想象中高。

漏洞的利用門檻不算低：需要本地認證、需要構造特定文件、需要目標開啟特定功能。但8.5的評分說明一旦條件湊齊，后果足夠嚴重。對于持有大量用戶生成內(nèi)容（UGC）的平臺，這等于給文件上傳功能加了一層風險。

NGINX作為Web服務器的市場份額超過30%，每三個網(wǎng)站就有一個跑在它的基礎上。這個基數(shù)下，哪怕只有1%的用戶啟用了MP4模塊，絕對數(shù)量也很可觀。

視頻處理一直是安全重災區(qū)。從早期的緩沖區(qū)溢出到近年來的供應鏈攻擊，編解碼器和流媒體模塊反復被證明是攻擊面的薄弱環(huán)節(jié)。這次漏洞再次驗證：越是"看起來無害"的功能，越可能藏著致命缺陷。

你的NGINX配置里，有沒有一行不起眼的mp4 on；？