fitA
4 月初，BlueHornet 黑客组织报告了 Nginx LDAP 用户认证软件中的一个零日漏洞。黑客报告说他们已经准备好并测试了一个针对 Nginx 1.18 的漏洞利用。
根据黑客的说法，利用的第一阶段需要 LDAP 注入，或一种基于用户输入创建 LDAP 语句的应用程序攻击。
BlueHornet 打算通过 HackerOne 漏洞赏金平台向 Nginx 安全团队报告该漏洞，但他们没有回应上诉。还创建了一个GitHub 页面，其中详细说明了该漏洞的利用。
正如该小组所指出的，该漏洞会影响默认的 Nginx 配置。黑客声称他们在加拿大皇家银行的系统上测试了该漏洞，但据报道他们没有被黑客入侵。随后，该集团还报告称，瑞银证券中国代表处的系统被黑客入侵。
4 月 11 日，Nginx 开发人员发布了有关该漏洞的声明。据他们说，它只影响参考实现，而不影响 Nginx Open Source 和 Nginx Plus。他们指出，如果使用命令行选项来配置守护进程，参考实现很容易受到攻击;应用可选配置参数;LDAP 身份验证取决于特定的组成员身份。对于所有情况，已经开发了防止其操作的方法。
