CVE-2026-63177 in Malcolm
요약
\~에 의해 VulDB • 2026. 08. 11.
Malcolm은 네트워크 트래픽 분석 도구 스위트입니다. 버전 26.07.0 이전에는 Nginx OpenResty Lua 레이어에서 강제되는 역할 기반 접근 제어(RBAC)가 원시 비정규화(raw, unnormalized) `ngx.var.request_uri`를 평가하는 반면, Nginx 자체는 정규화된 경로를 사용하여 요청을 라우팅합니다. 권한이 낮은 인증된 사용자는 경로 순회 세그먼트(예: `/x/../upload/...`)를 앞에 붙여 Nginx가 제한된 백엔드로 요청을 라우팅하도록 유도할 수 있습니다. 이때 Lua의 역할 확인은 어떤 규칙에도 매칭되지 않아 실패하고, 결과적으로 거부되어야 할 접근이 허용됩니다. 버전 26.07.0에서 이 문제가 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.