CVE-2022-4886, CVE-2023-5043 및 CVE-2023-5044의 영향을 받는 NGINX Ingress Controller는 무엇인가요?

Ilya Krutov수석 제품 마케팅 매니저 | F5 NGINX

2023년 10월 25일, 미국 국립표준기술연구소(NIST)는 다음에 영향을 미치는 세 가지 CVE를 보고했습니다. NGINX Ingress Controller for Kubernetes:

• CVE-2022-4886 – ingress-nginx 경로 정제를 log_format 지시어로 우회할 수 있습니다.
• CVE-2023-5043 – ingress-nginx 주석 삽입으로 인해 임의의 명령이 실행될 수 있습니다.
• CVE-2023-5044 – nginx.ingress.kubernetes.io/permanent-redirect 어노테이션을 통해 코드 인젝션이 발생합니다.

해당 보고서와 이후 발표된 자료(예: 「긴급: Kubernetes용 NGINX Ingress Controller에서 새로운 보안 결함 발견」)로 인해 실제로 어떤 NGINX Ingress Controller가 영향을 받는지, 그리고 누가 이러한 CVE에 설명된 취약점에 대응해야 하는지를 두고 다소 혼란이 발생했으며 지원 문의도 여러 건 접수되었습니다.

이러한 혼란은 충분히 이해할 만합니다. NGINX 기반 Ingress 컨트롤러가 하나만 있는 것이 아니라는 사실을 알고 계셨나요? 우선, “NGINX Ingress Controller”라는 이름을 사용하는 완전히 별개의 프로젝트가 두 개 있습니다.

• 커뮤니티 프로젝트 – GitHub의 kubernetes/ingress-nginx 리포지토리에서 제공되는 이 Ingress 컨트롤러는 NGINX Open Source 데이터 플레인을 기반으로 하지만 Kubernetes 커뮤니티에서 개발하고 유지 관리하며, 문서는 GitHub에서 호스팅됩니다.
• NGINX 프로젝트 – GitHub의 nginxinc/kubernetes-ingress 리포지토리에서 제공되는 NGINX Ingress Controller는 F5 NGINX에서 개발 및 유지 관리하며, docs.nginx.com에서 문서를 제공합니다. 이 공식 NGINX 프로젝트는 두 가지 에디션으로 제공됩니다:
  • NGINX Open Source 기반(무료 오픈 소스 옵션)
  • NGINX Plus 기반(상용 옵션)

Kong과 같이 NGINX를 기반으로 하는 다른 Ingress 컨트롤러도 있습니다. 다행히 이름으로 쉽게 구분할 수 있습니다. 어떤 컨트롤러를 사용 중인지 확실하지 않다면 실행 중인 Ingress 컨트롤러의 컨테이너 이미지를 확인한 다음, Docker 이미지 이름을 위에 나열된 리포지토리와 비교하세요.

위에서 설명한 취약점(CVE-2022-4886, CVE-2023-5043 및 CVE-2023-5044)은 커뮤니티 프로젝트에만 적용됩니다(kubernetes/ingress-nginx). NGINX Ingress Controller용 NGINX 프로젝트(nginxinc/kubernetes-ingress, 오픈 소스 및 상용 버전 모두)는 이러한 CVE의 영향을 받지 않습니다.

NGINX Ingress Controller와 Ingress 컨트롤러 프로젝트의 차이점에 대한 자세한 내용은 블로그 글 Ingress 컨트롤러 선택 가이드 4부: NGINX Ingress Controller 옵션을 참조하세요.

작성자 소개

Ilya Krutov수석 제품 마케팅 매니저 | F5 NGINX

Ilya Krutov의 다른 블로그 게시물