HTTP/3 모듈의 취약점에 대응하기 위한 NGINX 업데이트

Prabhat Dixit

오늘, 내부적으로 발견된 HTTP/3 모듈의 취약점에 대응하기 위해 NGINX Plus, NGINX Open source 및 NGINX Open Source 구독 업데이트를 출시합니다. ngx_http_v3_module 이러한 취약점은 NGINX open source의 두 가지 버그 보고서(trac #2585 및 trac #2586)를 바탕으로 발견되었습니다. 이 모듈은 기본적으로 활성화되어 있지 않으며 실험적 기능으로 문서화되어 있습니다.

해당 취약점은 CVE(Common Vulnerabilities and Exposures) 데이터베이스에 등록되었으며, F5 보안 사고 대응팀(F5 SIRT)은 공통 취약점 평가 시스템(CVSS v3.1) 척도를 사용하여 해당 취약점에 점수를 부여했습니다.

다음 HTTP/3 모듈의 취약점은 NGINX Plus, NGINX 오픈 소스 구독 및 NGINX 오픈 소스에 적용됩니다.

CVE-2024-24989: 이 취약점에 대한 패치는 다음 소프트웨어 버전에 포함되어 있습니다:

• NGINX Plus R31 P1
• NGINX 오픈 소스 구독 R6 P1
• NGINX 오픈 소스 메인라인 버전 1.25.4. (최신 NGINX 오픈 소스 안정 버전 1.24.0은 영향을 받지 않습니다.)

CVE-2024-24990: 이 취약점에 대한 패치는 다음 소프트웨어 버전에 포함되어 있습니다:

• NGINX Plus R30 P2
• NGINX Plus R31 P1
• NGINX 오픈 소스 구독 R5 P2
• NGINX 오픈 소스 구독 R6 P1
• NGINX 오픈 소스 메인라인 버전 1.25.4. (최신 NGINX 오픈 소스 안정 버전 1.24.0은 영향을 받지 않습니다.)

NGINX Plus R30 또는 R31, NGINX 오픈 소스 구독 패키지 R5 또는 R6, 혹은 NGINX 오픈 소스 메인라인 버전 1.25.3 이하를 실행 중인 경우 영향을 받습니다. NGINX 소프트웨어를 최신 버전으로 업그레이드할 것을 강력히 권장합니다.

NGINX Plus 업그레이드 지침은 NGINX Plus 관리자 가이드의 「NGINX Plus 업그레이드」를 참조하세요. NGINX Plus 고객은 https://my.f5.com/에서 지원팀에 도움을 요청할 수도 있습니다.

작성자 소개

Prabhat Dixit

Prabhat Dixit의 다른 블로그 게시물