🇰🇷 한글 설명
NGINX의 ngx_http_mp4_module에서 발생하는 취약점으로, 특수하게 제작된 오디오 또는 비디오 파일을 통해 워커 프로세스를 충돌시키거나 메모리 정보를 유출할 수 있습니다. 이 문제는 mp4 지시어가 설정에 포함되어 있고 해당 모듈이 빌드된 경우에만 영향을 미칩니다.
💡 쉬운 설명
악성 영상이나 음악 파일을 서버에 올리면 서버 프로그램이 갑자기 꺼지거나 중요한 정보가 새 나갈 수 있는 문제입니다. 서버가 동영상 재생 기능을 지원할 때 발생할 수 있습니다.
🇺🇸 원문 (English)
NGINX Open Source before versions 1.23.2 and 1.22.1, NGINX Open Source Subscription before versions R2 P1 and R1 P1, and NGINX Plus before versions R27 P1 and R26 P1 have a vulnerability in the module ngx_http_mp4_module that might allow a local attacker to cause a worker process crash, or might result in worker process memory disclosure by using a specially crafted audio or video file. The issue affects only NGINX products that are built with the module ngx_http_mp4_module, when the mp4 directive is used in the configuration file. Further, the attack is possible only if an attacker can trigger processing of a specially crafted audio or video file with the module ngx_http_mp4_module.
📍 영향받는 시스템
NGINX Open Source < 1.23.2, 1.22.1; NGINX Subscription < R2 P1, R1 P1; NGINX Plus < R27 P1, R26 P1
⚔️ 공격 벡터
ngx_http_mp4_module이 활성화된 상태에서 조작된 미디어 파일을 처리하도록 유도
🛡️ 대응 방법
NGINX를 최신 보안 패치가 적용된 버전(1.23.2 또는 1.22.1 이상)으로 업데이트
🔧 검증 코드
출력된 NGINX 버전을 확인하여 취약한 버전 범위에 해당하는지 대조
nginx -v 2>&1 | grep -E 'nginx/[0-9]+\.[0-9]+\.[0-9]+'