🇰🇷 한글 설명
nginx-ignition 2.29.0에서 2.40.0 버전 사이의 gin i18n 미들웨어에서 발생하는 취약점입니다. Accept-Language 헤더에 언더바(_) 문자를 대량으로 포함할 경우, 내부 파서의 처리 과정에서 CPU 자원을 과도하게 소모하는 서비스 거부(DoS) 공격이 가능합니다.
💡 쉬운 설명
웹 서버에 특수하게 조작된 언어 설정 요청을 보내면 서버의 두뇌 역할을 하는 CPU가 과부하에 걸려 서비스가 멈출 수 있습니다. 공격자가 아주 적은 노력으로도 서버를 마비시킬 수 있는 위험한 상태입니다.
🇺🇸 원문 (English)
nginx ignition is a user interface for the nginx web server. In versions 2.29.0 through 2.40.0, the gin i18n middleware in nginx-ignition's API server runs in front of every HTTP request and calls `golang.org/x/text/language.ParseAcceptLanguage` on the raw `Accept-Language` header without imposing any size or shape filter. The underlying parser has quadratic-time behaviour on long lists of malformed language tags. The CVE-2022-32149 guard that golang.org/x/text added in v0.3.8 caps the number of `-` characters in the input at 1000, but it does not cap `_` characters even though the parser's internal scanner aliases `_` to `-` before parsing. A single unauthenticated GET request with an `Accept-Language` header built out of `_` separators burns about 2.4 seconds of server CPU on the host running nginx-ignition; ten concurrent attackers saturate a ten-core box for the duration of the attack while consuming ~10 MiB/s of upstream bandwidth. Version 2.40.1 fixes this issue.
📍 영향받는 시스템
nginx-ignition versions 2.29.0 through 2.40.0
⚔️ 공격 벡터
인증되지 않은 공격자가 조작된 'Accept-Language' 헤더를 포함한 HTTP GET 요청을 전송
🛡️ 대응 방법
nginx-ignition을 최신 보안 패치가 적용된 버전인 2.40.1 이상으로 업데이트
🔧 검증 코드
명령어 결과에 2.29.0에서 2.40.0 사이의 버전 번호가 출력되면 취약한 상태입니다.
nginx-ignition --version 2>/dev/null | grep -E '2\[.29-2\.40\]'