🇰🇷 한글 설명
NGINX Agent 2.23.3 미만 버전에서 민감한 정보가 로그 파일에 삽입되는 취약점이 발견되었습니다. 인증된 공격자가 로컬 로그 파일에 접근할 수 있는 경우, 로그를 통해 개인 키(Private Key)를 탈취할 수 있습니다. 이 문제는 기본값이 아닌 trace 레벨의 로깅이 활성화된 경우에만 발생합니다.
💡 쉬운 설명
프로그램이 작동 기록을 남길 때 비밀번호나 암호 키 같은 중요한 정보를 실수로 로그 파일에 적어두는 문제입니다. 로그 파일을 볼 수 있는 권한을 가진 사람이 이 기록을 통해 중요한 보안 정보를 훔쳐갈 수 있습니다.
🇺🇸 원문 (English)
Insertion of Sensitive Information into log file vulnerability in NGINX Agent. NGINX Agent version 2.0 before 2.23.3 inserts sensitive information into a log file. An authenticated attacker with local access to read agent log files may gain access to private keys. This issue is only exposed when the non-default trace level logging is enabled. Note: NGINX Agent is included with NGINX Instance Manager and used in conjunction with NGINX API Connectivity Manager, and NGINX Management Suite Security Monitoring.
📍 영향받는 시스템
NGINX Agent version 2.0 up to 2.23.2
⚔️ 공격 벡터
로컬 로그 파일에 접근 권한이 있는 인증된 공격자가 trace 레벨 로깅이 활성화된 상태를 이용해 민감 정보 탈취
🛡️ 대응 방법
NGINX Agent를 2.23.3 버전 이상으로 업데이트하거나, trace 레벨 로깅 설정을 비활성화하십시오.
🔧 검증 코드
출력된 버전 정보가 2.23.3 미만인지 확인하여 취약 여부를 판단합니다.
nginx-agent --version 2>/dev/null || dpkg -l | grep nginx-agent