🇰🇷 한글 설명
NGINX의 ngx_http_mp4_module에서 발생하는 취약점으로, 특수하게 제작된 오디오 또는 비디오 파일을 통해 NGINX 워커 메모리를 손상시킬 수 있습니다. 이로 인해 서비스가 중단되거나 추가적인 보안 위협이 발생할 수 있습니다. 해당 모듈이 활성화되어 있고 mp4 지시어가 설정된 경우에만 영향을 받습니다.
💡 쉬운 설명
악의적으로 만들어진 동영상이나 음악 파일을 재생하려고 할 때 NGINX 서버가 고장 나거나 멈출 수 있는 문제입니다. 서버가 처리할 수 없는 파일을 보내서 서버를 강제로 종료시키는 방식입니다.
🇺🇸 원문 (English)
NGINX Open Source before versions 1.23.2 and 1.22.1, NGINX Open Source Subscription before versions R2 P1 and R1 P1, and NGINX Plus before versions R27 P1 and R26 P1 have a vulnerability in the module ngx_http_mp4_module that might allow a local attacker to corrupt NGINX worker memory, resulting in its termination or potential other impact using a specially crafted audio or video file. The issue affects only NGINX products that are built with the ngx_http_mp4_module, when the mp4 directive is used in the configuration file. Further, the attack is possible only if an attacker can trigger processing of a specially crafted audio or video file with the module ngx_http_mp4_module.
📍 영향받는 시스템
NGINX Open Source < 1.23.2, 1.22.1; NGINX Subscription < R2 P1, R1 P1; NGINX Plus < R27 P1, R26 P1 (ngx_http_mp4_module 사용 시)
⚔️ 공격 벡터
ngx_http_mp4_module이 활성화된 상태에서 조작된 미디어 파일을 서버가 처리하도록 유도
🛡️ 대응 방법
NGINX를 최신 보안 패치가 적용된 버전(1.23.2 또는 1.22.1 이상)으로 업데이트
🔧 검증 코드
출력된 NGINX 버전을 확인하여 취약한 버전 범위에 해당하는지 대조
nginx -v 2>&1 | grep -E 'nginx/[0-9.]+'