🇰🇷 한글 설명
NGINX Plus 또는 NGINX OSS에서 HTTP/3 QUIC 모듈을 사용할 때, 특정 조건에서 처리되지 않은 HTTP/3 요청이 NGINX 워커 프로세스를 종료시키거나 기타 잠재적인 영향을 미칠 수 있습니다. 이 공격은 연결 드레이닝(connection draining) 과정 중 특정 타이밍에 맞춰 요청을 보내야 하므로 공격자가 제어하기 어렵습니다.
💡 쉬운 설명
NGINX 서버에서 최신 통신 방식인 HTTP/3를 사용할 때, 특수한 요청을 보내면 서버 프로그램이 갑자기 꺼질 수 있는 문제입니다. 다만 공격자가 정확한 타이밍을 맞추기가 매우 어려워 실제 공격 성공 가능성은 낮습니다.
🇺🇸 원문 (English)
When NGINX Plus or NGINX OSS are configured to use the HTTP/3 QUIC module, undisclosed HTTP/3 requests can cause NGINX worker processes to terminate or cause other potential impact. This attack requires that a request be specifically timed during the connection draining process, which the attacker has no visibility and limited influence over.
📍 영향받는 시스템
HTTP/3 QUIC 모듈이 활성화된 NGINX Plus 및 NGINX OSS 버전
⚔️ 공격 벡터
연결 드레이닝 과정 중 정교하게 타이밍을 맞춘 특수 HTTP/3 요청 전송
🛡️ 대응 방법
NGINX를 최신 보안 패치가 적용된 버전으로 업데이트하거나 HTTP/3 사용 설정을 검토하십시오.
🔧 검증 코드
출력된 NGINX 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사의 보안 권고안과 비교하십시오.