[해커톤] 배포 전에 터진 보안 감사 - nginx, Redis, cryptography에서 CVE 6건 발견

들어가며

FIRSTWAVE라는 서비스가 있다. 최신 소프트웨어 근황을 메일로 정기적으로 보내주는 곳인데, 거기서 nginx에 18년 동안 존재하던 심각한 취약점이 발견됐다는 소식을 봤다. 마침 AWS에 배포를 앞두고 있었고, nginx를 쓰고 있으니 남 얘기가 아니었다. 그래서 배포 전에 서비스 전체 의존성 보안 점검을 한 번 돌려보기로 했다.

cryptography 패키지를 하나 추가한 김에 전체를 AI를 사용하여 훑었는데, nginx와 Redis까지 포함해서 총 6건의 CVE가 나왔다.
그 중 2건은 CRITICAL, 3건은 HIGH였다.

 

보안은 전문적이지 않은 분야이지만, 취약점 관리를 하지 않으면 언제든 뚫릴 수 있다는 걸 다시 확인한 날이었다.

 

 

---

1. 발견된 취약점 요약

위험도	대상	CVE	내용
🔴 CRITICAL (9.2)	nginx	CVE-2026-42945	힙 버퍼 오버플로우 → RCE 가능
🔴 CRITICAL (10.0)	Redis	CVE-2025-49844	Use-After-Free → RCE 가능
🟠 HIGH (8.2)	cryptography	CVE-2026-26007	ECC 서브그룹 공격으로 개인 키 유출
🟠 HIGH	cryptography	CVE-2026-34073	TLS 인증서 검증 우회
🟠 HIGH	cryptography	CVE-2026-39892	OOB 읽기로 민감 정보 유출
🟡 MEDIUM (5.3)	urllib3	CVE-2025-50182	Pyodide 환경에서 리다이렉트 제어 우회

 

 

---

2. CRITICAL - 즉시 터질 수 있는 것들

nginx "NGINX Rift" (CVE-2026-42945, CVSS 9.2)

HTTP 요청 1건만 있으면 인증 없이 서버를 장악할 수 있다. PoC까지 공개된 상태다.

 

2008년부터 nginx에 존재해온 버그다. nginx 0.6.27부터 1.30.0까지 전 버전이 영향을 받는다.

버그가 있는 곳은 URL 재작성 모듈(ngx_http_rewrite_module). URL 길이를 계산하는 1단계와 실제로 복사하는 2단계 사이에서 내부 플래그(is_args)가 잘못 넘어온다. 그 결과 ngx_escape_uri가 할당된 메모리 범위를 초과해서 데이터를 쓴다. 힙 버퍼 오버플로우다.

ASLR이 꺼진 환경(일부 컨테이너, 오래된 Linux 설정)에서는 충돌을 넘어 RCE(원격 코드 실행)까지 이어진다. Finora는 EC2 + nginx + Certbot으로 배포되어 있으니 직접 영향권이다.

sudo apt update && sudo apt upgrade nginx
nginx -v  # 1.30.1 이상이어야 함

즉시 업그레이드가 어렵다면, nginx.conf의 rewrite 지시어에서 unnamed 캡처 (...) 를 named 캡처 (?P<name>...) 로 바꾸는 것으로 임시 완화할 수 있다.

 

---

Redis "RediShell" (CVE-2025-49844, CVSS 10.0)

CVSS 10.0 만점. Redis에 인증된 사용자라면 누구든 서버를 장악할 수 있다.

 

2012년부터 13년간 Redis 전 버전에 존재해온 버그다. Lua 스크립트 실행 과정에서 가비지 컬렉터를 오작동시키는 특수 스크립트를 주입하면, 이미 해제된 메모리를 다시 참조하게 된다(Use-After-Free). 그 메모리를 악의적인 코드로 채우면 RCE로 이어진다.

Finora는 celery[redis]로 Celery와 Redis를 연결해 쓰고 있다. EC2에 Redis가 올라가 있으니 직접 영향권이다.

redis-server --version  # 현재 버전 확인

# 메이저 버전에 맞는 패치 버전으로 업그레이드
# 6.x → 6.2.20 / 7.2.x → 7.2.11 / 7.4.x → 7.4.6 / 8.x → 8.0.4 이상
sudo apt update && sudo apt upgrade redis-server

 

---

3. HIGH - cryptography 패키지 CVE 3건

세 CVE 모두 cryptography>=46.0.7 업그레이드 하나로 해결된다.

 

이번에 AWS 자격증명 암호화를 위해 cryptography 패키지를 새로 추가했다. 추가하자마자 세 CVE에 동시에 걸렸다.

 

CCVE-2026-26007- 개인 키 유출 (CVSS 8.2)

ECC 키 교환 시 공개키 포인트가 올바른 곡선 위의 점인지 검증하지 않는다. 공격자가 의도적으로 비정상적인 부분군(subgroup)에 속하는 점을 공개키로 보내면, 서버가 반복적인 키 교환 과정에서 내부 연산값을 노출하고 결국 개인 키가 역산된다. SECT 계열 곡선에서만 발생한다.

 

CVE-2026-34073 - TLS 인증서 검증 우회

인증서 체인 검증 시 Name Constraints를 자식 인증서의 SAN(Subject Alternative Names)에만 적용하고 실제 검증 중인 피어 이름에는 적용하지 않는다. example.com 범위로 제한된 중간 CA가 attacker.com에 대한 인증서를 발급해도 신뢰하게 된다.

 

CVE-2026-39892 - OOB 읽기로 민감 정보 유출

Hash.update(buf[::-1]) 처럼 역순 슬라이스(비연속 메모리)를 전달하면 배열 범위를 초과해서 읽는다. 그 옆 메모리에 키나 토큰이 있다면 유출되거나 프로세스가 충돌한다.

조치: requirements.txt 한 줄 수정으로 세 CVE를 한 번에 처리했다.

- cryptography>=42.0.0
+ cryptography>=46.0.7

재배포 시 EC2에서 pip install --upgrade "cryptography>=46.0.7" 추가 실행 필요.

 

---

4. MEDIUM - urllib3 (CVE-2025-50182)

이건 직접 영향이 없다. boto3 → botocore → urllib3 의존성 체인에 포함되어 있는데, 취약점이 재현되는 건 Pyodide(브라우저에서 Python을 실행하는 환경)에서만이다. 서버 사이드 Python 환경인 Finora에는 해당 없다. botocore가 urllib3 2.5.0을 공식 지원할 때까지 추적만 해두기로 했다.

 

---

5. 배운 것

잘 돌아가는 서버도 취약점이 없는 게 아니라, 아직 공격받지 않은 것뿐이다.

 

• 패키지 하나 추가할 때 버전 명시(외부 공개 X)와 CVE 확인은 습관처럼 해야 한다
• nginx, Redis 같은 인프라 컴포넌트도 애플리케이션 코드와 동일하게 정기 보안 패치가 필요하다
• CRITICAL CVE에 PoC가 공개되면 패치 시간이 없다. 평소에 업그레이드를 미루지 않는 게 최선이다

 

 

사내 해커톤 중 작성