🇰🇷 한글 설명
Nginx UI 2.0.0부터 2.5.0 버전 사이의 자체 업그레이드 메커니즘에서 보안 취약점이 발견되었습니다. 업그레이드 미러 서버나 네트워크 공격자가 바이너리와 다이제스트를 동시에 조작할 경우, 악성 실행 파일이 설치되어 Nginx UI 프로세스 권한으로 실행될 수 있습니다.
💡 쉬운 설명
프로그램이 업데이트를 진행할 때 내려받은 파일이 진짜인지 확인하는 과정이 허술하여 발생합니다. 공격자가 가짜 업데이트 파일을 보내면 관리자가 업데이트를 누르는 순간 컴퓨터가 해킹될 수 있습니다.
🇺🇸 원문 (English)
Nginx UI is a web user interface for the Nginx web server. From 2.0.0 until 2.5.0, the self-upgrade mechanism validates a downloaded binary only with a same-origin digest obtained from the same upgrade mirror. A compromised mirror or network attacker able to alter both responses can supply a malicious executable and matching digest. An operator-triggered upgrade is required, and the application installs and runs the attacker-controlled code in the Nginx UI process context on the next upgrade. This issue is fixed in version 2.5.0.
📍 영향받는 시스템
Nginx UI version 2.0.0 ~ 2.5.0
⚔️ 공격 벡터
조작된 업그레이드 미러 서버 또는 네트워크 중간자 공격(MITM)을 통한 악성 바이너리 및 다이제스트 주입
🛡️ 대응 방법
Nginx UI를 최신 버전인 2.5.0 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.5.0 미만(예: 2.4.x)이면 취약한 상태입니다.
nginx-ui --version 2>/dev/null || curl -s http://localhost/version | grep -E '2\.[0-5]\.[0-5]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM WebSphere Application Server