🇰🇷 한글 설명
Nginx UI 2.2.0부터 2.6.0 버전 사이에서 번들로 포함된 리버스 프록시가 클라이언트의 실제 IP를 보존하지 못하는 취약점이 발견되었습니다. 이로 인해 관리 요청이 루프백 주소로 오인되어 IP 허용 목록을 우회할 수 있으며, 공격자가 여러 클라이언트에서 로그인 실패를 유도하여 특정 계정에 대한 임시 차단을 발생시킬 수 있습니다.
💡 쉬운 설명
공격자가 가짜 IP 주소를 사용하여 보안 검사를 우회하거나, 다른 사용자의 로그인을 방해하여 계정을 잠기게 만들 수 있는 문제입니다. 실제 사용자의 접속 정보가 서버에 제대로 전달되지 않아 발생하는 보안 설정 오류입니다.
🇺🇸 원문 (English)
Nginx UI is a web user interface for the Nginx web server. From 2.2.0 until 2.6.0, the bundled reverse proxy does not preserve the external client identity used by Gin because the backend has no trusted proxy configuration. Management requests can be attributed to loopback and pass the IP allowlist loopback exception, although valid credentials are still required. Failed logins from different external clients are also attributed to the same loopback address, allowing an unauthenticated attacker to trigger a shared temporary login ban for password or OTP authentication without invalidating existing sessions. This issue is fixed in version 2.6.0.
📍 영향받는 시스템
Nginx UI 버전 2.2.0 ~ 2.6.0
⚔️ 공격 벡터
리버스 프록시의 신뢰할 수 있는 프록시 설정 부재를 이용한 IP 스푸핑 및 로그인 시도 유도
🛡️ 대응 방법
Nginx UI를 최신 버전인 2.6.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2.2.0에서 2.6.0 사이의 버전 번호가 포함되어 있다면 취약한 버전입니다.
curl -s http://<target-nginx-ui-url>/version | grep -E '2\[\.\][2-5]\.[0-9]+'