🇰🇷 한글 설명
NGINX Open Source 및 NGINX Plus의 ngx_http_dav_module에서 버퍼 오버플로 취약점이 발견되었습니다. 공격자는 이를 통해 NGINX 워커 프로세스를 종료시키거나 문서 루트 외부의 파일 이름을 수정할 수 있습니다. 이 취약점은 DAV 모듈의 MOVE 또는 COPY 메서드, 접두사 위치 설정, 그리고 alias 지시어를 함께 사용하는 구성에서 발생합니다.
💡 쉬운 설명
NGINX 웹 서버의 특정 설정 오류를 이용해 서버 프로그램을 강제로 종료하거나 파일을 엉뚱한 곳으로 옮길 수 있는 보안 약점입니다. 서버 관리자가 파일 이동 기능을 사용할 때 설정이 잘못되어 있으면 발생할 수 있습니다.
🇺🇸 원문 (English)
NGINX Open Source and NGINX Plus have a vulnerability in the ngx_http_dav_module module that might allow an attacker to trigger a buffer overflow to the NGINX worker process; this vulnerability may result in termination of the NGINX worker process or modification of source or destination file names outside the document root. This issue affects NGINX Open Source and NGINX Plus when the configuration file uses DAV module MOVE or COPY methods, prefix location (nonregular expression location configuration), and alias directives. The integrity impact is constrained because the NGINX worker process user has low privileges and does not have access to the entire system. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
📍 영향받는 시스템
NGINX Open Source 및 NGINX Plus (DAV 모듈, MOVE/COPY 메서드, prefix location, alias 사용 시)
⚔️ 공격 벡터
DAV 모듈의 MOVE 또는 COPY 메서드를 이용한 특수하게 조작된 HTTP 요청
🛡️ 대응 방법
NGINX를 최신 보안 패치 버전으로 업데이트하거나, 취약한 설정(DAV 모듈과 alias의 조합)을 검토 및 수정하십시오.
🔧 검증 코드
출력된 NGINX 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사의 보안 권고문과 대조하십시오.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
NGINX 제품 보안 업데이트 권고
P4
📅 2026-05-24 · sec_notice
F5 NGINX 제품에서 Heap-based Buffer Overflow 취약점이 발견되었습니다. NGINX Open Source 및 NGINX Plus 사용자는 원격 코드 실행 등의 위험을 방지하기 위해 최신 버전으로 업데이트해야 합니다.