엔진엑스에 18년 묵은 치명 취약점, 인증 없이 원격 코드 실행 가능

• 엔진엑스에서 18년 동안 숨어 있던 치명적 취약점이 공개됨

  • 이름은 ‘엔진엑스 리프트’, 식별자는 CVE-2026-42945임
  • 엔진엑스 플러스와 엔진엑스 오픈소스에 영향을 주는 것으로 소개됨

• 취약점의 정체는 리라이트 모듈의 힙 버퍼 오버플로우임

  • 문제가 되는 모듈은 ngx_http_rewrite_module임
  • 특정 리라이트 설정과 정규 표현식 캡처 기능이 결합될 때 발생한다고 F5와 최초 발견 연구팀 뎁스퍼스트가 설명함

• 최악의 경우 서버 장악 가능성도 언급됨

  • 주소 공간 레이아웃 임의화가 비활성화된 환경에서는 공격자가 서버 권한을 탈취해 시스템 제어권을 잡을 가능성이 제기됨
  • 원격 코드 실행과 권한 탈취가 연결되면 단순 장애 대응이 아니라 침해 사고 대응 영역으로 넘어감

• 패치는 이미 나왔고, 버전 확인이 급함

  • 엔진엑스 오픈소스 1.30.1 이상에서 수정됨
  • 엔진엑스 플러스는 R32 P6 이상 버전에서 수정됨
  • 취약점은 4월 21일 책임 있는 공개 절차를 거쳐 공개됐다고 함

• 같이 패치된 취약점도 3종 더 있음

  • SCGI 및 uwsgi 모듈에서는 과도한 메모리 할당 또는 메모리 읽기를 유발할 수 있는 취약점이 패치됨
  • SSL 및 Charset 모듈에서도 메모리 정보 노출과 프로세스 재시작을 유발할 수 있는 취약점이 발견됨
  • 즉, 이번 업데이트는 리라이트 모듈 하나만 보고 넘길 건이 아님

• 실무적으로는 엔진엑스 버전과 리라이트 설정을 같이 봐야 함
  • 단순히 “엔진엑스 쓰나요?”가 아니라, 리라이트 규칙과 정규식 캡처를 어디서 쓰는지 점검해야 함
  • 각국 보안 당국도 엔진엑스 기반 웹 서버와 인프라 전반에 대한 버전 점검과 최신 업데이트 적용을 권고하고 있음

---

기술 맥락

• 이번 취약점이 까다로운 이유는 엔진엑스가 너무 흔하게 쓰이기 때문이에요. 웹 서버, 리버스 프록시, 로드밸런서 앞단에 들어가는 경우가 많아서 한 번 문제가 생기면 서비스 입구 전체가 영향권에 들어가거든요.

• 리라이트 모듈은 요청 주소를 바꾸거나 조건별 라우팅을 할 때 자주 쓰여요. 여기에 정규식 캡처가 들어가면 설정은 유연해지지만, 이번처럼 메모리 처리 버그와 결합될 때 공격 표면이 될 수 있어요.

• 힙 버퍼 오버플로우가 위험한 건 단순 크래시로 끝나지 않을 수 있어서예요. 공격자가 메모리 상태를 유도하고 보호 기법이 약한 환경을 만나면 원격 코드 실행까지 노릴 수 있거든요.

• 그래서 대응은 두 단계로 가야 해요. 먼저 엔진엑스 오픈소스 1.30.1이나 엔진엑스 플러스 R32 P6 이상으로 올리고, 바로 올릴 수 없는 환경은 리라이트 설정에서 명명되지 않은 캡처를 쓰는지 확인해야 해요.

• 특히 레거시 인프라는 주소 공간 레이아웃 임의화 같은 보호 설정이 꺼져 있을 수 있어요. 버전 패치만 체크하지 말고 런타임 보호 설정까지 같이 보는 게 맞아요.