🇰🇷 한글 설명
Nginx Proxy Manager 2.16.0 이하 버전에서 인증 엔드포인트에 대한 속도 제한(rate-limiting)이 누락되어 발생합니다. 공격자는 인증되지 않은 상태로 /api/tokens 및 /api/tokens/2fa 경로를 통해 무차별 대입 공격(Brute-force)을 수행하여 계정 비밀번호와 TOTP 코드를 탈취하고 관리자 권한을 획득할 수 있습니다.
💡 쉬운 설명
로그인 시도 횟수를 제한하는 기능이 없어 해커가 비밀번호를 무작위로 계속 입력해 맞출 수 있는 보안 결함입니다. 이를 통해 해커가 관리자 계정을 탈취하여 시스템 전체를 장악할 위험이 있습니다.
🇺🇸 원문 (English)
Nginx Proxy Manager through 2.16.0 lacks rate-limiting on authentication endpoints, allowing unauthenticated attackers to make unlimited password guesses against any account. Attackers can brute-force login credentials via POST /api/tokens and subsequently guess TOTP codes via POST /api/tokens/2fa to gain full session access and administrative control.
📍 영향받는 시스템
Nginx Proxy Manager 2.16.0 및 그 이전 버전
⚔️ 공격 벡터
인증 엔드포인트(/api/tokens, /api/tokens/2fa)를 대상으로 한 무차별 대입 공격(Brute-force)
🛡️ 대응 방법
Nginx Proxy Manager를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 이미지 태그 버전을 확인하여 2.16.0 이하인지 확인하십시오.
docker inspect nginx-proxy-manager --format '{{.Config.Image}}' 2>/dev/null | grep -E 'nginx-proxy-manager'