🇰🇷 한글 설명
nginx의 ngx_http_mp4_module에서 발생하는 취약점으로, 특수하게 제작된 mp4 파일을 통해 워커 프로세스에 무한 루프를 유발하거나 프로세스를 충돌시킬 수 있습니다. 또한 워커 프로세스의 메모리 정보가 유출될 가능성도 존재합니다. 이 문제는 ngx_http_mp4_module이 포함된 상태로 빌드되고 설정 파일에서 .mp4. 지시어가 사용될 때만 영향을 받습니다.
💡 쉬운 설명
해커가 조작된 동영상 파일을 서버에 보내면 서버 프로그램이 멈추거나 꺼질 수 있습니다. 또한 서버의 중요한 메모리 정보가 몰래 빠져나갈 위험도 있습니다.
🇺🇸 원문 (English)
nginx before versions 1.15.6, 1.14.1 has a vulnerability in the ngx_http_mp4_module, which might allow an attacker to cause infinite loop in a worker process, cause a worker process crash, or might result in worker process memory disclosure by using a specially crafted mp4 file. The issue only affects nginx if it is built with the ngx_http_mp4_module (the module is not built by default) and the .mp4. directive is used in the configuration file. Further, the attack is only possible if an attacker is able to trigger processing of a specially crafted mp4 file with the ngx_http_mp4_module.
📍 영향받는 시스템
nginx versions before 1.15.6 and 1.14.1 (with ngx_http_mp4_module enabled)
⚔️ 공격 벡터
특수하게 제작된 mp4 파일을 서버에 업로드하거나 요청하여 ngx_http_mp4_module이 이를 처리하도록 유도
🛡️ 대응 방법
nginx를 1.15.6 또는 1.14.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 nginx 버전이 1.15.6 또는 1.14.1보다 낮은지 확인하여 취약 여부를 판단합니다.
nginx -v 2>&1 | grep -E 'nginx/(1.15.6|1.14.1|[0-9]+\.[0-9]+\.[0-9]+)'