🇰🇷 한글 설명
NGINX Controller Agent의 특정 버전에서 시스템 유틸리티를 호출할 때 절대 경로를 사용하지 않는 취약점이 발견되었습니다. 이로 인해 공격자가 악성 실행 파일을 경로에 배치하여 권한 상승이나 임의 명령 실행을 수행할 수 있습니다.
💡 쉬운 설명
프로그램이 도구를 실행할 때 정확한 위치를 지정하지 않아, 공격자가 가짜 도구를 그 자리에 대신 놓아 시스템을 조종할 수 있는 문제입니다. 마치 요리사가 칼을 찾을 때 정확한 위치를 확인하지 않아 누군가 바꿔치기한 칼을 사용하는 것과 같습니다.
🇺🇸 원문 (English)
In versions 3.0.0-3.9.0, 2.0.0-2.9.0, and 1.0.1, the NGINX Controller Agent does not use absolute paths when calling system utilities.
📍 영향받는 시스템
NGINX Controller Agent versions 3.0.0-3.9.0, 2.0.0-2.9.0, and 1.0.1
⚔️ 공격 벡터
PATH 환경 변수 조작을 통한 시스템 유틸리티 실행 경로 가로채기 (Path Traversal/Hijacking)
🛡️ 대응 방법
NGINX Controller Agent를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 취약한 버전 범위(1.0.1, 2.x.x, 3.x.x)가 포함되어 있는지 확인하십시오.
rpm -qa | grep -i nginx-controller-agent || dpkg -l | grep -i nginx-controller-agent