遠端主機上安裝的 nginx 版本是1.5.6或更高版本， 1.6.x1.6.1在 之前或1.7.x1.7.4之前。因此，它受到命令插入弱點影響。

在 'src/mail/ngx_mail_smtp_handler.c' 檔案的 'ngx_mail_smtp_starttls' 函式中存在一個瑕疵，其對 STARTTLS 命令的輸入未得到正確清理。這可允許位於需要權限之網路位置的遠端攻擊者透過將命令插入到 SSL 工作階段中來取得敏感資訊。

請注意，只有在 nginx 作為 SMTP Proxy 使用時，才能惡意利用此問題。

偵測

nginx < 1.6.1 / 1.7.4 SMTP STARTTLS 命令插入

medium Nessus Plugin ID 77246

版本 1.14