NGINX 및 NGINX Plus를 사용하여 CVE-2015-1635로부터 보호하기

Owen Garrett제품 관리 부문 수석 이사

4월 14일, Microsoft는 취약점 경고를 발표했습니다 – 현재 CVE-2015-1635로 추적되고 있는 이 문제는 공격자가 영향을 받는 Windows 시스템에 특수하게 조작된 HTTP 요청을 보낼 경우 원격 코드 실행을 허용할 수 있습니다. 운영 중인 Windows 서버에 즉시 패치를 적용하기 어렵다면 NGINX와 NGINX Plus를 사용하여 공격으로부터 서버를 보호할 수 있습니다.

이 글을 작성하는 시점에는 해당 취약점에 대한 구체적인 세부 정보가 공개되지 않았지만, 공격자들은 매우 큰 Range 요청이 포함된 HTTP 요청을 전송하여 취약한 시스템을 찾으려는 것으로 알려졌습니다. 이러한 요청은 버퍼 오버플로를 유발하고 Windows 시스템을 중단시킬 수 있습니다.

사용자는 이 취약점을 해결하기 위해 Microsoft의 패치를 적용할 것을 강력히 권장합니다. 그러나 모든 프로덕션 시스템에 패치를 적용할 수 없고 NGINX 또는 NGINX Plus를 사용하여 해당 시스템으로 전달되는 트래픽을 부하 분산하거나 프록시하는 경우, 간단한 구성 변경만으로 취약한 시스템에 전송되는 특수 요청을 가로채 수정할 수 있습니다.

정찰 트래픽 식별 및 처리

Mattias Geniar는 공격 트래픽을 분석했으며 Range 헤더에 큰 바이트 범위가 지정된 HTTP 요청이 충돌을 유발한다고 보고했습니다:

GET / HTTP/1.1rnHost: stuffrn
Range: bytes=0-18446744073709551615rn
rn

가장 간단한 해결 방법은 proxy_set_header 지시어를 사용하여 Range 헤더를 ""(빈 문자열)로 설정하는 것입니다. 이렇게 하면 HTTP 요청이 proxy_pass 지시어에 지정된 Windows 서버로 전달되기 전에 해당 헤더가 사실상 삭제됩니다.

server {    listen 80;
 
    location / {
        proxy_set_header Range "";
        proxy_pass http://windowsserver:80;
    }
}

애플리케이션에서 바이트 범위 지원이 필요한 경우, map 지시어를 사용하여 큰 정수처럼 보이는 문자열을 빈 문자열로 바꾼 다음, proxy_set_header 지시어를 사용하여 Range 헤더를 설정할 수 있습니다:

map $http_range $saferange {    "~d{10,}" "";  # if it matches a string of 10 or more integers, remove it
    default $http_range;
}
 
server {
    listen 80;
 
    location / {
        proxy_set_header Range $saferange;
        proxy_pass http://windowsserver:80;
    }
}

또는 444 헤더의 값이 큰 정수처럼 보일 때 HTTP 코드 Range를 반환할 수 있습니다. 코드 444는 NGINX 및 NGINX Plus가 아무것도 반환하지 않고 클라이언트 연결을 즉시 종료하도록 지시합니다.

server {    listen 80;
 
    if ($http_range ~ "d{9,}") {
        return 444;
    }
 
    location / {
        proxy_pass http://windowsserver:80;
    }
}

안전을 위해 패치를 적용하세요. 즉시 적용할 수 없다면 NGINX와 NGINX Plus를 사용해 잠재적인 보안 허점을 차단할 수 있습니다.

NGINX Plus를 사용해 보려면 지금 30일 무료 체험을 시작하거나 데모를 위해 문의해 주세요.

작성자 소개

Owen Garrett제품 관리 부문 수석 이사

Owen Garrett의 다른 블로그 게시물