🇰🇷 한글 설명
3.2.0 미만 버전의 NGINX Controller에서 인증되지 않은 공격자가 API를 통해 권한이 없는 사용자 계정을 생성할 수 있는 취약점입니다. 생성된 사용자는 시스템의 다른 구성 요소를 수정할 수는 없으나, 새로운 라이선스를 업로드할 수 있는 권한을 가집니다.
💡 쉬운 설명
해커가 로그인 없이도 시스템에 가짜 사용자 계정을 몰래 만들 수 있는 문제입니다. 이 계정으로 시스템의 설정은 못 바꾸더라도 라이선스 정보를 조작할 위험이 있습니다.
🇺🇸 원문 (English)
In NGINX Controller versions prior to 3.2.0, an unauthenticated attacker with network access to the Controller API can create unprivileged user accounts. The user which is created is only able to upload a new license to the system but cannot view or modify any other components of the system.
📍 영향받는 시스템
NGINX Controller versions prior to 3.2.0
⚔️ 공격 벡터
네트워크를 통해 Controller API에 접근하여 인증 없이 계정 생성 요청을 보냄
🛡️ 대응 방법
NGINX Controller를 3.2.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력 결과에 3.2.0 이상의 버전 정보가 포함되어 있는지 확인하여 취약 여부를 판단합니다.
curl -s http://<controller-ip>/api/version | grep -E '3.2.0'