🇰🇷 한글 설명
Nginx UI 버전 2.0.0-beta.36 미만에서 로그 경로를 임의로 조작할 수 있는 취약점이 발견되었습니다. 이 취약점은 /api/configs 경로의 디렉토리 트래버설 취약점과 결합되어 서버의 디렉토리 및 파일 내용을 읽을 수 있는 위험을 초래합니다.
💡 쉬운 설명
Nginx 관리 화면의 설정 오류를 이용해 해커가 서버 내부의 중요한 파일을 몰래 훔쳐볼 수 있는 문제입니다. 관리자 권한이 없어도 서버의 민감한 정보를 읽어낼 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
Nginx UI is a web user interface for the Nginx web server. Prior to version 2.0.0-beta.36, the log path of nginxui is controllable. This issue can be combined with the directory traversal at `/api/configs` to read directories and file contents on the server. Version 2.0.0-beta.36 fixes the issue.
📍 영향받는 시스템
Nginx UI version < 2.0.0-beta.36
⚔️ 공격 벡터
로그 경로 조작과 디렉토리 트래버설 취약점을 결합한 파일 읽기 공격
🛡️ 대응 방법
Nginx UI를 최신 버전인 2.0.0-beta.36 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2.0.0-beta.36 이상의 버전 정보가 포함되어 있는지 확인하십시오.
curl -s http://localhost:PORT/api/version | grep -E '2\.0\.0-beta\.36'