🇰🇷 한글 설명
NGINX Plus 또는 NGINX 오픈 소스 버전에서 HTTP/3 QUIC 모듈을 사용할 때, 공개되지 않은 특정 요청으로 인해 NGINX 워커 프로세스가 종료될 수 있습니다. 이 취약점은 HTTP/3 QUIC 모듈이 활성화된 환경에서만 발생하며, 해당 모듈은 현재 실험적 기능으로 간주됩니다.
💡 쉬운 설명
NGINX 서버에서 최신 통신 방식인 HTTP/3를 사용할 때, 특수한 요청을 보내면 서버 프로그램이 갑자기 꺼질 수 있는 문제입니다. 서버가 예기치 않게 종료되어 서비스가 중단될 위험이 있습니다.
🇺🇸 원문 (English)
When NGINX Plus or NGINX OSS are configured to use the HTTP/3 QUIC module, undisclosed requests can cause NGINX worker processes to terminate.
Note: The HTTP/3 QUIC module is not enabled by default and is considered experimental. For more information, refer to Support for QUIC and HTTP/3 https://nginx.org/en/docs/quic.html .
Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated
📍 영향받는 시스템
HTTP/3 QUIC 모듈이 활성화된 NGINX Plus 및 NGINX 오픈 소스 버전
⚔️ 공격 벡터
HTTP/3 QUIC 프로토콜을 사용하는 서버에 조작된 특수 요청을 전송
🛡️ 대응 방법
NGINX를 최신 보안 패치 버전으로 업데이트하거나, 사용하지 않는 경우 HTTP/3 QUIC 모듈 비활성화
🔧 검증 코드
명령어 결과에 '--with-http_v3_module'이 포함되어 있다면 HTTP/3 모듈이 활성화되어 취약할 수 있습니다.
nginx -V 2>&1 | grep -o '--with-http_v3_module'