🇰🇷 한글 설명
NginxProxyManager 2.15.1 이하 버전의 internalCertificate.validate 함수에서 인증 우회 취약점이 발견되었습니다. 공격자가 원격에서 조작된 입력을 통해 인증 없이 OpenSSL 프로세싱을 유도할 수 있으며, 이는 시스템의 보안성을 저해할 수 있습니다.
💡 쉬운 설명
인증 절차를 거치지 않고도 서버의 특정 기능을 실행할 수 있는 보안 구멍이 발견되었습니다. 공격자가 특수하게 조작된 데이터를 보내 서버의 보안 처리 과정을 악용할 위험이 있습니다.
🇺🇸 원문 (English)
A vulnerability was detected in NginxProxyManager nginx-proxy-manager up to 2.15.1. This impacts the function internalCertificate.validate of the file backend/internal/certificate.js of the component Validate Route. The manipulation results in missing authentication. The attack can be launched remotely. The exploit is now public and may be used. Endpoint only processes and echoes back the certificate the caller submits (no stored data leaked); the real risk is unauthenticated openssl processing of attacker input. The project was informed of the problem early through an issue report but has not responded yet.
📍 영향받는 시스템
NginxProxyManager 2.15.1 및 그 이전 버전
⚔️ 공격 벡터
원격에서 인증 없이 조작된 인증서 데이터를 전송하여 공격
🛡️ 대응 방법
NginxProxyManager를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 이미지 태그 버전을 확인하여 2.15.1 이하인지 확인하십시오.
docker inspect nginx-proxy-manager | grep -i 'image' | cut -d '"' -f 4