NGINX Fixes 5 Flaws, Including Possible RCE and a TLS Bug That May Skip Client-Cert Checks

핵심 요약

NGINX에서 원격 코드 실행(RCE) 가능성 및 클라이언트 인증서 검사를 우회할 수 있는 TLS 버그를 포함한 5가지 취약점을 해결한 업데이트 버전을 발표했습니다. 이번 취약점들은 특정 설정에서 악용될 수 있는 메모리 버그 3가지와 TLS 세션을 위조할 수 있는 버그 1가지, 그리고 2005년부터 존재했던 또 다른 버그를 포함하며, 공격자는 이를 통해 서비스 거부(DoS) 또는 임의 코드 실행(RCE)을 시도할 수 있습니다. 특히 클라이언트 인증서 검사 우회는 인증 및 식별 실패(OWASP A07:2021)로 이어져 중요한 시스템에 대한 무단 접근을 허용할 수 있습니다. IT 감사인은 NGINX를 사용하는 시스템의 취약점 패치 여부와 보안 설정 적정성을 즉시 점검하여 잠재적인 침해 사고 및 서비스 중단 리스크를 선제적으로 관리해야 합니다.

개선 권고안

• ✔기술적 조치모든 NGINX 서버를 최신 보안 패치 버전(1.30.6 또는 1.31.7 이상)으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치NGINX의 TLS/SSL 설정 및 클라이언트 인증서 검증 로직을 점검하고, 최신 보안 표준에 맞춰 강화할 것을 권고함. 특히 `ssl_client_certificate`, `ssl_verify_client`, `ssl_verify_depth` 등의 설정을 검토하여 클라이언트 인증서 검사가 올바르게 작동하는지 확인할 것을 권고함.
• ✔관리적 조치NGINX를 포함한 모든 운영 시스템 및 소프트웨어에 대한 정기적인 취약점 점검 및 패치 관리 프로세스를 수립 및 시행할 것을 권고함.
• ✔관리적 조치NGINX와 같은 핵심 인프라 소프트웨어의 보안 설정 가이드라인을 수립하고, 주기적인 보안 설정 검토 및 감사를 통해 보안 설정 오류(Security Misconfiguration)를 예방할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기