세계 보안 엑스포  전자정부 솔루션 페어  개인정보보호 페어  국제 사이버 시큐리티 컨퍼런스  세계 태양에너지 엑스포  스마트팩토리  INFO-CON
Home > 전체기사
4억 개 웹사이트에서 사용되는 엔진엑스, 업데이트 발표
  |  입력 : 2018-11-09 16:05
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
웹 서버 소프트웨어, 오픈소스로 풀려 전 세계에서 널리 사용돼
1.15.6과 1.14.1 버전으로 업데이트 필수…디도스 위협 커


[보안뉴스 문가용 기자] 엔진엑스(nginx)라는 오픈소스 웹 서버 소프트웨어의 업데이트가 발표됐다. 여러 개의 디도스 유발 취약점들이 발견된 데에 따른 조치이다.

[이미지 = iclickart]


엔진엑스는 웹 서버 기능을 하는 소프트웨어이지만 서버 부하 분산 장치(load balancer)나 리버스 프로시(reverse proxy)로 사용되기도 한다. 실제로 현재 약 4억 개가 넘는 웹사이트들에서 엔진엑스가 활용되고 있다. 세계에서 가장 널리 쓰이는 웹 서버 중 하나다.

엔진엑스를 개발한 건 엔진엑스 인코퍼레이션(NGINX, Inc.)이다. 현재까지 1억 달러의 투자까지 유치해 낸 촉망받는 기업으로, 그중 4천 3백만 달러는 올해 6월에 받기도 했다.

엔진엑스 개발자들은 이번 주 1.15.6 버전과 1.14.1을 발표하며, 두 개의 HTTP/2 관련 취약점들을 해결했음을 공지했다. 이 두 가지 취약점을 익스플로잇 할 경우 디도스 공격이 가능해진다. 취약점이 발견된 버전은 1.9.5~1.15.5이다.

이 중 하나의 취약점은 CVE-2018-16843으로 과도한 메모리 소모 현상을 발생시킬 수 있다. 또 다른 취약점은 보안 업체 F5 네트웍스(F5 Networks)의 갈 골드슈타인(Gal Goldshtein)이란 인물이 발견한 것으로, CVE-2018-16844다. 과도한 CPU 소모 현상을 발생시킨다.

엔진엑스의 코어 개발자인 막심 두닌(Maxim Dounin)은 환경설정 파일 내에서 listen 명령의 http2 옵션이 사용되는 경우 엔진엑스가 디폴트가 아니라 ngx_http_v2_module로 컴파일 될 경우 문제가 생긴다고 설명한다.

여기에 더해 엔진엑스를 사용하는 웹사이트의 관리자들에게는 ngx_http_mp4_module이라는 모듈에서도 보안 문제가 있을 수 있다는 내용이 전달됐다. 이 모듈은 MP4 미디어 파일들을 지원하는 수도 스트리밍(pseudo-streaming) 기능을 제공한다.

이 취약점에는 CVE-2018-16845라는 번호가 붙었다. 공격자가 이를 익스플로잇 할 경우 워커(worker) 프로세스가 마비되게 만들거나, 조작된 MP4 파일을 사용해 메모리를 유출시킬 수 있게 된다.

두닌은 환경설정 파일 내에서 mp4 명령이 사용되고, 디폴트가 아닌 ngx_http_mp4_module로 엔진엑스가 컴파일 될 때에만 발생하는 문제라고 설명을 추가했다. 엔진엑스 1.1.3과 그 이후 버전, 1.0.7과 그 이후 버전에서 발견되고 있다. 하지만 1.15.6과 1.14.1 버전을 통해 패치됐다.

3줄 요약
1. 전 세계 4억 개 웹사이트에서 사용되는 오픈소스 서버 소프트웨어인 엔진엑스, 새 버전 나옴.
2. 예전 버전에는 디도스 및 정보 유출 일으키는 취약점 세 가지 있었음.
3. 엔진엑스 사용하는 웹 마스터라면 업데이트 필수.


[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
모니터랩 파워비즈 배너 시작 18년9월12일위즈디엔에스 2018WD 파워비즈 2017-0305 시작파워비즈배너 시작 11월6일 20181105-20200131
설문조사
2019년은 4차 산업혁명을 이끌 보안기술들이 본격적으로 상품화될 것으로 기대되고 있습니다. 2019년에 선보이는 다양한 보안기술 중에서 어떤 기술이 가장 주목을 받을 것이라고 생각하시나요?
실시간 위협탐지·대응 기술 EDR
빅데이터 기반의 인공지능(AI) 보안기술
음성인식·행동인식 등 차세대 생체인식기술
차세대 인터넷, 블록체인 기반 보안기술
보안위협 분석 위한 인텔리전스 보안기술
대세는 클라우드, 클라우드 기반 보안기술
IoT 기기를 위한 경량화 보안기술
IP 카메라 해킹 대응 개인영상 정보보호 기술