🇰🇷 한글 설명
NGINX Plus 및 오픈소스 버전의 ngx_http_v3_module에서 발생하는 취약점입니다. HTTP/3를 사용하면서 proxy_request_buffering 지시어를 활성화할 경우, 인증되지 않은 공격자가 프록시되는 요청에 데이터를 주입할 수 있습니다.
💡 쉬운 설명
웹 서버가 HTTP/3라는 최신 통신 방식을 사용할 때, 공격자가 몰래 가짜 데이터를 끼워 넣을 수 있는 문제입니다. 이로 인해 서버가 전달하는 요청 내용이 변조될 위험이 있습니다.
🇺🇸 원문 (English)
Description
NGINX Plus and NGINX Open Source have a vulnerability in the ngx_http_v3_module module. When using HTTP/3 with
proxy_request_buffering on directive, an unauthenticated attacker may be able to inject data in the proxied request.
Impact
This vulnerability may allow remote attackers to
inject data in the proxied request. There is no control plane exposure; this is a data plane issue only.
Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
📍 영향받는 시스템
NGINX Plus 및 NGINX Open Source (ngx_http_v3_module 사용 및 proxy_request_buffering 활성화 시)
⚔️ 공격 벡터
HTTP/3 프로토콜을 통해 인증 없이 원격에서 프록시 요청에 데이터를 주입
🛡️ 대응 방법
NGINX를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 취약한 설정(HTTP/3와 proxy_request_buffering 조합)을 검토하십시오.
🔧 검증 코드
출력된 NGINX 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사의 보안 권고문과 비교하십시오.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
F5 제품 보안 업데이트 권고
P4
📅 2026-10-20 · sec_notice
F5의 NGINX Plus 및 NGINX Open Source 제품에서 Heap-based Buffer Overflow, Use After Free 등 다수의 보안 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 공격에 노출될 수 있으므로, 권고된 최신 버전으로 즉시 업데이트를 수행해야 합니다.