엔진엑스 1.31.7 공개, 메모리 취약점 3건 수정
1. 개요. 보안 매체 보도에 따르면 F5가 2026년 10월 14일 엔진엑스(NGINX) 보안 권고를 공개하고, 메모리 손상 계열 취약점을 수정한 릴리스를 배포했습니다. 오픈소스 판은 메인라인 1.31.7과 스테이블 1.30.6, 상용 판 엔진엑스 플러스(NGINX Plus)는 37.0.5.1과 37.1.0.1로 올라갔습니다. 세 건 모두 원격의 인증받지 않은 공격자가 조작한 HTTP 요청으로 워커 프로세스를 중단시킬 수 있는 유형입니다.
2. 수정된 취약점. 공개된 세 건은 다음과 같습니다.
- CVE-2026-97205: ngx_http_core_module의 use-after-free. 비동기 파일 I/O(AIO)가 켜진 상태에서 SSI 페이지의 include virtual 지시를 처리할 때 해제된 메모리를 다시 참조합니다.
- CVE-2026-93479: map 지시어와 정규식 매칭에서 발생하는 힙 버퍼 오버플로. root 지시어나 접근 로그 포맷이 map 출력 변수보다 정규식 캡처 변수를 먼저 참조하는 설정에서 조건이 만들어집니다.
- CVE-2026-15176: ngx_http_core_module의 힙 버퍼 오버플로. 보도에 따르면 location 블록에서 alias와 rewrite를 함께 쓰고 set 또는 return 지시어가 $request_filename을 참조하는 설정이 영향을 받습니다.
3. 심각도. 세 건 모두 CVSS v3.1 기준 8.1(High), v4.0 기준 9.2(Critical)로 평가됐습니다. 보도에 따르면 기본 영향은 워커 프로세스 비정상 종료지만, ASLR이 꺼져 있거나 우회되는 환경에서는 코드 실행으로 이어질 수 있습니다. 즉 실제 원격 코드 실행은 조건부로 보입니다.
4. 참고 사항. 엔진엑스는 리버스 프록시나 인그레스 컨트롤러로 폭넓게 쓰이기 때문에 노출 구간이 넓은 편입니다. AIO와 SSI를 함께 쓰거나 map 캡처 변수를 활용하거나 alias와 $request_filename을 조합한 설정이라면 영향 범위를 먼저 점검하고, 오픈소스는 1.31.7 또는 1.30.6, 플러스는 해당 패치 버전으로 올리는 것을 권합니다. 당장 올리기 어렵다면 문제 되는 지시어 사용 여부부터 확인하면 됩니다.
🔗 https://cybersecuritynews.com/multiple-nginx-vulnerabilities/
로그인 후 답글을 남길 수 있습니다.