🇰🇷 한글 설명
NGINX Plus 및 오픈소스 버전의 ngx_http_core_module에서 발생하는 취약점으로, 특정 설정에서 비동기 파일 I/O(AIO)가 활성화된 상태로 'include virtual' 명령이 포함된 SSI 페이지를 처리할 때 Use-After-Free(UAF) 오류가 발생합니다. 이로 인해 메모리 오염, 워커 프로세스 충돌 또는 ASLR 우회 시 원격 코드 실행이 가능할 수 있습니다.
💡 쉬운 설명
웹 서버가 파일을 읽어오는 과정에서 메모리 관리 실수로 인해 서버가 멈추거나 해커가 서버를 조종할 수 있는 보안 약점입니다. 특정 기능을 사용하는 웹 페이지를 통해 공격자가 서버에 악성 명령을 내릴 수 있습니다.
🇺🇸 원문 (English)
NGINX Plus and NGINX Open Source have a vulnerability in the ngx_http_core_module module. When asynchronous file I/O (AIO) is enabled in certain configurations, processing a Server Side Includes (SSI) page containing “include virtual” commands may trigger a Use-After-Free (UAF) in the NGINX worker process. This may cause memory corruption or a worker process crash. Additionally, attackers can execute code on systems with Address Space Layout Randomization (ASLR) disabled or when the attacker can bypass ASLR.
Impact:
This vulnerability may allow remote attackers to cause a denial-of-service (DoS) on the NGINX system, corrupt its memory, or possibly trigger code execution. There is no control plane exposure; this is a data plane issue only.
Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.
📍 영향받는 시스템
NGINX Plus 및 NGINX Open Source (AIO 및 SSI 'include virtual' 활성화 구성)
⚔️ 공격 벡터
조작된 SSI 'include virtual' 명령이 포함된 HTTP 요청을 통한 원격 공격
🛡️ 대응 방법
NGINX를 최신 보안 패치가 적용된 버전으로 업데이트하거나, 취약한 설정(AIO 및 SSI virtual include)을 비활성화하십시오.
🔧 검증 코드
출력된 NGINX 버전을 확인하여 해당 취약점이 해결된 최신 버전인지 제조사의 보안 권고문과 대조하십시오.
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
F5 제품 보안 업데이트 권고
P4
📅 2026-10-20 · sec_notice
F5의 NGINX Plus 및 NGINX Open Source 제품에서 Heap-based Buffer Overflow, Use After Free 등 다수의 보안 취약점이 발견되었습니다. 해당 제품을 사용하는 사용자는 공격에 노출될 수 있으므로, 권고된 최신 버전으로 즉시 업데이트를 수행해야 합니다.