F5 NGINX는 출시 전에 보안 문제를 발견할 수 있도록 최적화된 설계, 개발 및 테스트를 포함하여 안전한 소프트웨어 수명 주기를 유지하기 위해 최선을 다하고 있습니다. 위협 모델링, 안전한 코딩, 교육 및 테스트를 우선시하고 있지만, 때때로 취약점이 발생하기도 합니다.
지난달 NGINX Open Source 커뮤니티의 한 구성원이 NGINX Open Source의 비정상 종료를 유발하는 HTTP/3 모듈의 버그 두 건을 보고했습니다. 조사 결과, 악의적인 공격자가 특수하게 조작된 HTTP/3 요청을 전송하여 NGINX 인스턴스에 서비스 거부 공격을 일으킬 수 있는 것으로 확인되었습니다. 이에 따라 NGINX는 다음 두 가지 취약점을 발표했습니다: CVE-2024-24989 및 CVE-2024-24990.
해당 취약점은 CVE(Common Vulnerabilities and Exposures) 데이터베이스에 등록되었으며, F5 보안 사고 대응팀(F5 SIRT)은 공통 취약점 등급 시스템(CVSS v3.1) 척도를 사용하여 해당 취약점에 점수를 부여했습니다.
출시 당시 NGINX의 QUIC 및 HTTP/3 기능은 실험적 기능으로 간주되었습니다. 이전에는 실험적 기능에 대해 CVE를 발급하지 않고, 대신 관련 코드를 패치하여 정기 릴리스의 일부로 배포했습니다. NGINX Plus 상용 고객에게는 이전 두 버전에도 패치를 적용하여 제공했습니다. NGINX Open Source에 유사한 패치를 제공하지 않는 것은 커뮤니티에 대한 도리가 아니라고 판단했습니다. 또한 오픈 소스 브랜치에서 문제를 수정하면 바이너리를 제공하지 않은 채 사용자에게 취약점이 노출될 수 있었습니다.
NGINX Open Source와 NGINX Plus 모두에 대한 패치를 출시하기로 한 결정은 고객과 커뮤니티에 매우 안전한 소프트웨어를 제공한다는 올바른 원칙에 따른 것입니다. 또한 향후 보안 취약점을 시의적절하고 투명하게 해결하는 방법에 관한 명확한 정책을 문서화하여 공개할 것을 약속드립니다.
관련 블로그 게시물
시청하기: KubeCon North America 2023에서의 NGINX Gateway Fabric
이 영상에서는 KubeCon의 NGINX 부스를 찾아가, 저희가 공개한 Kubernetes Gateway API 구현을 살펴봅니다.
F5 NGINX로 대규모 WAF 플릿을 확인하고 관리하는 2가지 방법
앱 보안을 강화하는 두 가지 방법을 소개합니다. NGINX Management Suite를 통해 WAF 운영에 대한 가시성을 높이고, NGINX App Protect WAF를 활용해 코드형 보안을 구현하는 것입니다.
Ingress 컨트롤러 선택 가이드, 4부: NGINX Ingress Controller 옵션
개발 주체, 개발 철학, 프로덕션 환경 준비도, 보안 및 지원을 기준으로 어떤 NGINX Ingress 컨트롤러가 가장 적합한지 알아보세요.
진화하는 공격 환경에 NGINX App Protect Denial of Service가 적응하는 방법
NGINX App Protect Denial of Service(DoS)가 계층 7 DoS 공격을 방어하기 위해 완화 방법을 실시간으로 조정하는 방식을 설명합니다. 정상적인 사용자 행동과 서버 상태에 대한 모델을 생성하여 공격을 나타내는 이상 징후를 감지하고 맞춤형 완화 시그니처를 적용할 수 있습니다.
NGINX Instance Manager를 활용한 대규모 구성 업데이트 및 인증서 관리
NGINX Instance Manager 버전 1.0에는 두 가지 새로운 기능이 도입되었습니다. NGINX 인스턴스에 태그와 사용자 역할을 지정하면 전체 그룹에 구성을 한 번에 적용할 수 있습니다. 인증서 검사는 만료 예정인 인증서를 감지하여 서비스 중단을 방지할 수 있도록 인증서를 교체할 수 있게 해줍니다.
Netflix가 자사 CDN의 핵심으로 NGINX를 선택한 이유
Netflix가 글로벌 콘텐츠 전송 네트워크인 Open Connect의 스트리밍 미디어 기술로 NGINX를 선택한 이유를 NGINX 개발자 Gleb Smirnoff에게서 알아보세요.