🇰🇷 한글 설명
NGINX Plus 또는 NGINX 오픈 소스에서 HTTP/3 QUIC 모듈을 사용할 때, MTU가 4096 이상인 네트워크 환경에서 특정 QUIC 패킷이 전달되면 이전에 해제된 메모리가 유출될 수 있습니다. 이 취약점은 NGINX 워커 프로세스에서 메모리 누수를 유발할 수 있습니다.
💡 쉬운 설명
특정한 네트워크 환경에서 NGINX를 통해 HTTP/3 통신을 할 때, 특수한 데이터 패킷을 보내면 서버의 메모리가 새어나가는 문제가 발생할 수 있습니다. 이는 서버의 자원을 소모시켜 성능을 떨어뜨릴 수 있습니다.
🇺🇸 원문 (English)
When NGINX Plus or NGINX OSS are configured to use the HTTP/3 QUIC module and the network infrastructure supports a Maximum Transmission Unit (MTU) of 4096 or greater without fragmentation, undisclosed QUIC packets can cause NGINX worker processes to leak previously freed memory.
📍 영향받는 시스템
HTTP/3 QUIC 모듈을 사용하는 NGINX Plus 및 NGINX 오픈 소스 버전
⚔️ 공격 벡터
MTU 4096 이상의 네트워크 환경에서 조작된 QUIC 패킷을 전송
🛡️ 대응 방법
NGINX를 최신 보안 패치가 적용된 버전으로 업데이트하거나 HTTP/3 기능을 비활성화
🔧 검증 코드
명령어 결과에 'quic'이 포함되어 있다면 해당 모듈이 활성화되어 있어 취약점에 노출될 가능성이 있습니다.
nginx -V 2>&1 | grep -i 'quic'