NGINX LDAP 참조 구현의 보안 취약점 해결

Liam Crilly제품 관리 부문 수석 이사

2022년 4월 9일, NGINX LDAP 참조 구현의 보안 취약점이 공개되었습니다. 조사 결과, 참조 구현만 영향을 받는 것으로 확인되었습니다. NGINX Open Source 및 NGINX Plus 자체는 영향을 받지 않으며, 참조 구현을 사용하지 않는 경우 별도의 조치가 필요하지 않습니다.

NGINX LDAP 참조 구현은 LDAP(Lightweight Directory Access Protocol)를 사용하여 NGINX가 프록시하는 애플리케이션의 사용자를 인증합니다. Python 데몬 및 관련 NGINX 구성은 https://github.com/nginxinc/nginx-ldap-auth에 공개되어 있으며, 그 용도와 구성 방법은 블로그에 자세히 설명되어 있습니다.

LDAP 참조 구현을 배포한 환경은 다음 조건 중 하나라도 해당하는 경우 취약점의 영향을 받습니다. 아래에서는 이러한 조건과 완화 방법을 자세히 설명합니다.

1. 명령줄 매개변수를 사용하여 Python 데몬을 구성하는 경우
2. 사용되지 않는 선택적 구성 매개변수가 있습니다
3. LDAP 인증은 특정 그룹의 구성원 자격에 따라 달라집니다

참고: LDAP 참조 구현은 참조용으로 공개되었으며, 통합이 작동하는 방식과 통합을 검증하는 데 필요한 모든 구성 요소를 설명합니다. 이는 프로덕션급 LDAP 솔루션이 아닙니다. 예를 들어 샘플 로그인 페이지에서 사용하는 사용자 이름과 비밀번호는 암호화되지 않으며, 보안 알림에도 이 점이 명시되어 있습니다.

완화 조건 1: 명령줄 매개변수를 사용하여 Python 데몬 구성

LDAP 참조 구현을 구성하는 기본 방법은 여러 proxy_set_header 지시문을 사용하는 것이며, 자세한 내용은 샘플 구성 및 설명서를 참조하십시오. 그러나 Python 데몬을 초기화하는 명령줄에서도 구성 매개변수를 설정할 수 있습니다(nginx-ldap-auth-daemon.py).

명령줄에서 구성 매개변수를 지정하면 공격자가 특수하게 조작된 HTTP 요청 헤더를 전달하여 일부 또는 모든 매개변수를 재정의할 수 있습니다. 이를 방지하려면 NGINX 구성의 location = /auth-proxy 블록(리포지토리의 nginx-ldap-auth.conf)에 다음 구성을 추가하여 인증 중 불필요한 요청 헤더가 무시되도록 하십시오.

location = /auth-proxy {
    # ...
    proxy_pass_request_headers off;
    proxy_set_header Authorization $http_authorization; # If using Basic auth
    # ...
}

완화 조건 2: 사용되지 않는 선택적 구성 매개변수

조건 1과 마찬가지로, 특정 구성 매개변수가 구성에 설정되어 있지 않으면 공격자가 특수하게 조작된 HTTP 요청 헤더를 전달하여 해당 매개변수를 재정의할 수 있습니다. 예를 들어 LDAP 검색 템플릿이 구성에 명시적으로 설정되어 있지 않으면 재정의될 수 있습니다. 조건 1과 동일한 방식으로, NGINX 구성의 location = /auth-proxy 블록에 다음 구성을 추가하여 이를 방어할 수 있습니다.

location = /auth-proxy {
    # ...
    proxy_pass_request_headers off;
    proxy_set_header Authorization $http_authorization; # If using Basic auth
    # ...
}

완화 조건 3: LDAP 그룹 멤버십 필요

Python 데몬은 입력값을 정제하지 않습니다. 따라서 공격자는 특수하게 조작된 요청 헤더를 사용하여 그룹 멤버십(memberOf) 검사를 우회함으로써, 인증 대상 사용자가 필수 그룹에 속하지 않더라도 LDAP 인증을 강제로 성공시킬 수 있습니다.

이 문제를 완화하려면 로그인 양식을 제공하는 백엔드 데몬이 사용자 이름 필드에서 모든 특수 문자를 제거하도록 해야 합니다. 특히 여는 괄호와 닫는 괄호 문자 – ( ) – 및 등호(=), 즉 LDAP 서버에서 특별한 의미를 갖는 문자를 모두 제거해야 합니다. LDAP 참조 구현의 백엔드 데몬도 추후 이와 같은 방식으로 업데이트될 예정입니다.

감사의 말

이러한 보안 취약점을 알려주신 Lucas Verney, valodzka, @_Blue_hornet 님께 감사드립니다.

작성자 소개

Liam Crilly제품 관리 부문 수석 이사

Liam Crilly의 다른 블로그 게시물