NR26-12: eMudhra 인증 기관 침해, 신세틱스 프라이빗 로케이션 컨테이너 이미지

Vulnerability Identifier: NR26-12

Priority: 높은

요약

2026년 10월 17일-2026년 10월 20일 사이에 연구원들은 eMudhra에서 발급한 8개의 중간 인증 기관(CA) 인증서에서 개인 키를 복구할 수 있다고 밝혔습니다. 해당 키를 가진 사람은 누구나 소프트웨어가 이를 계속 신뢰하는 경우 소프트웨어에서 진짜로 받아들일 인증서를 생성할 수 있습니다. 주요 운영 시스템과 웹 브라우저에서는 이미 이러한 인증서에 대한 신뢰를 철회했지만, 일부 컨테이너 이미지를 포함해 독립적인 CA 신뢰 저장소를 관리하는 애플리케이션은 업데이트해야 합니다.

뉴렐릭은 신세틱스 프라이빗 로케이션에 제공하는 컨테이너 이미지를 재구축하여 더 이상 이러한 인증서를 사용하지 않도록 했습니다. 이미지가 자동으로 업데이트되지 않으므로, 신세틱스 프라이빗 로케이션을 실행하는 고객은 새 이미지를 가져와서 컨테이너를 다시 시작해야 합니다.

작업 항목

퍼블릭(공공) 위치

고객의 조치는 모니터가 최신 런타임에 있는지 여부에 따라 달라집니다.

시나리오	조치 필요
Node.js 22.x의 스크립트 API 모니터 브라우저 런타임 기반 모니터 Ping 모니터	조치 불필요: 뉴렐릭은 이미 패치된 이미지를 배포했습니다.
Node.js 16.10 기반 스크립트 API 모니터	조치 필요: Node.js 22.23.0으로 마이그레이션하십시오. 자세한 내용은 중요 공지: Node.js 16.x 마이그레이션 필요를 참조하십시오.

구형 런타임에서 여전히 실행 중인 모니터를 식별하려면 계정의 query builder [쿼리 빌더]에서 다음 NRQL 쿼리를 실행해 주십시오:

SELECT uniques(monitorName) FROM SyntheticCheck WHERE runtimeType = 'NODE_API' AND runtimeTypeVersion = '16.10' SINCE 1 day ago

뉴렐릭 UI의 Synthetics EOL screen [신세틱스 EOL 화면] 에서도 영향을 받는 모니터를 확인할 수 있습니다. 여전히 Node.js 16.10에서 실행 중인 모든 모니터를 확인하려면 Monitor Type: Script API [모니터 유형: 스크립트 API] 기준으로 필터링하십시오.

개인 위치

조치 필요: 프라이빗 로케이션을 실행하는 모든 고객은 런타임 버전에 관계없이 수동으로 최신 이미지를 가져와서 재배포해야 합니다.

신세틱스 작업 관리자(SJM) 및 모든 런타임을 포함하여 모든 신세틱스 프라이빗 로케이션 이미지의 최신 버전을 가져오십시오:

영상	버전
`newrelic/synthetics-job-manager`	v642 이상
`newrelic/synthetics-node-api-runtime`	1.2.296 이상
`newrelic/synthetics-node-browser-runtime`	3.0.259 또는 그 이상
`newrelic/synthetics-ping-runtime`	1.87.0 이상

컨테이너를 다시 시작합니다.

자세한 내용은 런타임 전환 가이드를 참조하십시오.

중요 공지: Node.js 16.x 마이그레이션 필요(퍼블릭 및 프라이빗 로케이션)

Node.js 16.10에서 실행되는 스크립팅된 API 모니터는 2026년 11월 18일에 수명이 종료 됩니다. 이 모니터는 eMudhra 취약점에 노출되어 있으며, 여전히 이러한 이전 버전에서 실행 중인 모니터는 Node.js 22.23.0으로 마이그레이션해야 합니다. 이는 모니터가 Public [퍼블릭] 또는 Private locations [프라이빗 로케이션]에서 실행되는지 여부에 관계없이 적용됩니다.

권장 조치: 2026년 11월 18일부터 뉴렐릭은 여전히 Node.js 16.x에서 실행 중인 공개 위치 모니터를 현재 런타임으로 자동 업그레이드합니다. 모니터가 새로운 런타임에서 의도한 대로 계속 작동하는지 테스트하고 취약한 버전에서 벗어날 수 있도록 해당 날짜 이전인 가능한 한 빨리 마이그레이션할 것을 강력히 권장합니다. 지침은 스크립팅된 API 모니터를 Node.js 22로 업그레이드를 참조하십시오.

기술적 취약점 정보

이 문제에 할당된 CVE가 없습니다.

자주 묻는 질문

뉴렐릭의 공개 위치 인프라가 영향을 받았습니까?
뉴렐릭은 최신 런타임에서 실행되는 공개 위치 인프라를 패치했습니다. 그러나 Node.js 16.x에 명시적으로 고정된 모니터는 계정 소유자가 업데이트할 때까지 해당 버전에서 계속 실행됩니다.
모니터 결과가 변조되었습니까?
뉴렐릭은 당사의 신세틱 이미지가 변조되었다는 증거가 없습니다.
신세틱스 secure credentials [보안 자격 증명]에 저장된 자격 증명을 교체해야 합니까?
네트워크 및 인프라가 손상되었다고 판단할 만한 특별한 이유가 없는 한 조치가 필요하지 않습니다.
여전히 궁금한 점이 있는 경우 누구에게 문의할 수 있습니까?
뉴렐릭 플랫폼의 도움말 섹션을 통해 당사 지원 팀에 케이스를 오픈해 주십시오.

출판 이력

2026년 10월 17일-2026년 10월 20일에 eMudhra 중간 CA 인증서 손상이 공개되었습니다.

2026년 11월 6일 - NR26-12 게시됨

사용자의 편의를 위해 제공되는 기계 번역입니다.