18년 숨어있던 NGINX 치명적 결함 발견 “인증 없이 서버 장악 가능”

핵심 요약

전 세계적으로 널리 사용되는 NGINX Plus 및 NGINX Open Source 웹 서버에서 18년간 미발견된 치명적인 보안 취약점이 공개되었습니다. 이 취약점은 인증 없이 원격 코드 실행(RCE) 및 서버 권한 탈취를 가능하게 하여 웹 서비스의 가용성, 무결성, 기밀성에 심각한 영향을 미칠 수 있습니다. 이는 OWASP Top 10의 A06:2021 – 취약하고 오래된 구성요소(Vulnerable and Outdated Components)에 해당하며, IT 감사인은 공개 웹 서버를 운영하는 조직의 NGINX 버전 현황을 즉시 파악하고, 최신 보안 패치 적용 여부를 중점적으로 점검하여 잠재적 보안 사고를 예방해야 함을 시사합니다.

💡 개선 권고안

• ✔기술적 조치NGINX Plus 및 NGINX Open Source를 F5에서 권고하는 최신 보안 패치가 적용된 버전으로 즉시 업데이트할 것을 권고함.
• ✔기술적 조치웹 서버(NGINX)에 대한 정기적인 취약점 스캔 및 모의 해킹을 수행하고, 발견된 취약점에 대해서는 즉시 조치할 것을 권고함.
• ✔기술적 조치웹 애플리케이션 방화벽(WAF)을 통해 NGINX 웹 서버로 유입되는 비정상적인 트래픽 및 공격 시도를 탐지하고 차단하는 정책을 강화할 것을 권고함.
• ✔관리적 조치공개 웹 서버를 포함한 모든 IT 인프라 구성요소에 대한 취약점 관리 정책 및 절차를 재검토하고, 신속한 패치 적용을 위한 비상 대응 체계를 수립 및 시행할 것을 권고함.
• ✔관리적 조치오픈소스 및 상용 소프트웨어 구성요소의 보안 취약점 정보를 지속적으로 모니터링하고, 새로운 취약점 발견 시 영향도 평가 및 패치 적용 우선순위를 결정하는 프로세스를 강화할 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문