MP4 및 HLS 비디오 스트리밍 모듈의 취약점 대응을 위한 NGINX 업데이트

Prabhat Dixit

오늘 MP4 및 Apple HTTP 라이브 스트리밍(HLS) 형식의 비디오 스트리밍용 NGINX 모듈에서 최근 발견된 취약점에 대응하기 위해 NGINX Plus, NGINX Open Source, NGINX Open Source Subscription 및 NGINX Ingress Controller의 업데이트를 출시합니다. 해당 모듈은 ngx_http_mp4_module 및 ngx_http_hls_module입니다. (NGINX Open Source Subscription은 일부 지역에서 제공되는 NGINX Open Source의 특별 패키지 버전입니다.)

해당 취약점은 CVE(Common Vulnerabilities and Exposures) 데이터베이스에 등록되었으며, F5 보안 사고 대응 팀(F5 SIRT)은 공통 취약점 등급 시스템(CVSS v3.1) 척도를 사용하여 해당 취약점에 점수를 부여했습니다.

MP4 모듈(ngx_http_mp4_module)의 다음 취약점은 NGINX Plus, NGINX Open Source 및 NGINX Open Source Subscription에 적용됩니다.

• CVE-2022-41741 (메모리 손상) – CVSS 점수 7.1(높음)
• CVE-2022-41742 (메모리 노출) – CVSS 점수 7.0(높음)

HLS 모듈(ngx_http_hls_module)의 다음 취약점은 NGINX Plus에만 해당합니다.

• CVE-2022-41743(메모리 손상) – CVSS 점수 7.0(높음)

이러한 취약점에 대한 패치는 다음 소프트웨어 버전에 포함되어 있습니다:

• NGINX Plus R27 P1
• NGINX Plus R26 P1
• NGINX Open Source 1.23.2 (메인라인)
• NGINX Open Source 1.22.1 (안정 버전)
• NGINX Open Source 구독 R2 P1
• NGINX Open Source 구독 R1 P1
• NGINX Ingress Controller 2.4.1
• NGINX Ingress Controller 1.12.5

NGINX Plus, NGINX Open Source, NGINX Open Source Subscription 및 NGINX Ingress Controller의 모든 버전이 영향을 받습니다. NGINX 소프트웨어를 최신 버전으로 업그레이드할 것을 강력히 권장합니다.

NGINX Plus 업그레이드 지침은 NGINX Plus 관리 가이드의 「NGINX Plus 업그레이드」를 참조하세요. NGINX Plus 고객은 다음 사이트에서 지원팀에 도움을 요청할 수도 있습니다: https://my.f5.com/.

작성자 소개

Prabhat Dixit

Prabhat Dixit의 다른 블로그 게시물