被 Centos 会及时修复安全问题给打脸了.

This topic created in 2529 days ago, the information mentioned may be changed or developed.

新开一个 VPS 没两天被关停了. 发 Ticket 一问, 1TB 流量被用光了.

然后找客服临时再开机查原因,用 goaccess 查 nginx 日志,只用了 5G 流量. 机器只开了 nginx, mysql ,memcached .想想前段时间 memcached 有个 udp 攻击.但想想自己系统已经升级到最新 CentOS Linux release 7.6.1810 (Core) ,不应该还存在这个漏洞吧.

结果被打脸了,看了一下 centos 的版本还是 memcached, 最近更新时间是"26-Nov-2016 00:03" . 配置默认也开启 udp 端口的公网监听.

所以只能怪自己了,开了机器改了 root 密码,ssh 端口,却忘记开 iptables 了.

https://mirrors.163.com/centos/7/os/x86_64/Packages/memcached-1.4.15-10.el7_3.1.x86_64.rpm https://centos.pkgs.org/7/centos-x86_64/memcached-1.4.15-10.el7_3.1.x86_64.rpm.html

8 replies • 2019-06-23 20:53:16 +08:00

chinesestudio

Jun 21, 2019 via Android

不配防火墙分分钟肉鸡

mzdblsw8

Jun 22, 2019

关 centos 什么事。自己拿机器不配置好。

cxh116

Jun 22, 2019

@chinesestudio
@mzdblsw8

漏洞是在 2018 年 2 月爆出.
https://blog.cloudflare.com/memcrashed-major-amplification-attacks-from-port-11211/
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-1000115

memcached 官方是在 2018-2-27 发布 1.5.6 版本修复了这个问题.
https://github.com/memcached/memcached/wiki/ReleaseNotes156

然后到 2019 年 6 月 21 号,时隔一年半, centos 的最新版本 release 7.6.1810, memcached 还是有漏洞的版本.

你如果认为这样还不关 centos 的事,那服务器中毒或被入侵只能怪自己为什么要连上可怕的互联网还开放了 nginx mysql memcached 这种设计本来可对外提供服务的软件的端口.