하나의 명령으로 빌드, 테스트, 스캔:```bash
make all

---

## 빌드 과정

### 아키텍처```
debian:bookworm-slim (builder)
  └─ build.sh
       ├─ curl nginx-1.25.5.tar.gz (SHA256-verified)
       ├─ curl njs-0.8.4 from github.com/nginx/njs
       ├─ patch -p1 < CVE-2026-42945.patch
       ├─ ./configure (flags identical to upstream nginx -V)
       ├─ make: release binary, debug binary, 4 dynamic module families (×2 release/debug)
       ├─ make: NJS modules (×2 release/debug) + njs CLI binary
       └─ dpkg-deb → nginx_1.25.5-1~bookworm+echo1_<arch>.deb

debian:bookworm-slim (runtime)
  ├─ apt-get install runtime deps (libssl3 ≥ 3.0.14 enforced)
  ├─ dpkg -i nginx_*.deb
  └─ COPY --from=upstream /docker-entrypoint.sh + /docker-entrypoint.d/

---

## CVE 수정 세부 정보

### CVE-2024-6119 - OpenSSL 버전 업그레이드

| 필드                | 값                                                  |
| -------------------- | ---------------------------------------------------- |
| **구성 요소**        | OpenSSL / libssl3                                    |
| **심각도**         | 높음 (CVSS 7.5)                                      |
| **유형**             | X.509 이름 검사를 통한 서비스 거부                   |
| **기준 버전** | 3.0.11-1~deb12u2                                     |
| **수정 버전**    | 3.0.14-1~deb12u2 (또는 이후)                         |
| **당사 버전**      | 3.0.20-1~deb12u1                                     |
| **NVD**              | https://nvd.nist.gov/vuln/detail/CVE-2024-6119       |
| **권고**         | https://openssl-library.org/news/secadv/20240903.txt |

**수정 작동 방식:**

`.deb` 패키지는 `Depends: libssl3 (>= 3.0.14)`를 선언하므로,
`apt-get install`은 수정 사항이 포함된 OpenSSL 버전을 가져오도록 강제됩니다.
현재 Debian bookworm 저장소는 3.0.20을 제공하며, 이는 CVE-2024-6119 및
기준 버전의 다른 수많은 OpenSSL CVE(CVE-2024-2511, CVE-2024-5535,
CVE-2024-4741, CVE-2023-5678, CVE-2023-6129, CVE-2023-6237, CVE-2024-9143,
CVE-2025-15467, CVE-2025-69420)를 수정합니다.

**스캐너 동작:** Grype와 Trivy는 dpkg 데이터베이스에서 `libssl3 3.0.20`을 확인하고
3.0.20 ≥ 3.0.14임을 인식하므로 CVE-2024-6119가 더 이상 보고되지 않습니다.
VEX가 필요하지 않습니다. 버전 업그레이드만으로 충분히 명백합니다.

**검증:**```bash
grep "CVE-2024-6119" baseline-grype.txt  # present
grep "CVE-2024-6119" fixed-grype.txt     # absent

--- a/src/http/ngx_http_script.c
+++ b/src/http/ngx_http_script.c
@@ -3176,6 +3176,7 @@ ngx_http_script_regex_end_code(ngx_http_request_t *r,
     }

     e->status = NGX_HTTP_MOVED_TEMPORARILY;
+    e->is_args = 0;

     return NGX_OK;
 }
``````c
// Added before the existing e->quote = 0; at line 1205
e->is_args = 0;

### 스캐너 증거

VEX 억제는 저장된 스캔 아티팩트에서 확인할 수 있습니다. 스캐너 데이터베이스는 주기적으로 재구축되며 CVE 존재 여부는 실행 간에 달라질 수 있습니다. 저장된 `baseline-grype.txt` 및 `fixed-grype.txt` 파일은 특정 시점의 증거입니다. VEX 문서의 유효성은 스캐너 DB 상태에 의존하지 않으며, 위의 증명 체인을 통해 독립적으로 검증 가능합니다.

---

## 스캐너 무결성

### 패키지 네이밍 결정

패키지 이름은 **`nginx`**입니다 (`nginx-custom`이 아님). 이는 다음 이유로 중요합니다:

1. **정직한 보고:** 패키지 이름을 변경하면 스캐너가 이를 nginx로 인식하지 못하여 모든 nginx CVE가 조용히 사라집니다(수정되지 않은 것 포함). 이는 잘못된 안전감을 주는 것입니다.
2. **VEX 시연:** VEX는 스캐너가 실제로 보고하는 CVE만 억제할 수 있습니다. 이름이 변경된 패키지는 VEX를 불필요하게 만들고(테스트 불가능하게 만듭니다).
3. **패키지 관리:** `nginx`로 이름을 지정하면 종속성을 충족하고 표준 Debian 도구로 관리할 수 있습니다.

### 스캐너 데이터베이스 변동성

스캐너 권고 데이터베이스는 주기적으로 재구축됩니다. 한 주에 존재하는 CVE가 다음 주에는 없을 수 있습니다. 이 프로젝트는 스캐너 출력을 수정의 주요 증거로 사용하지 않습니다. 증거 체인은 다음과 같습니다:

1. 패치 출처(스캐너와 관계없이 독립적으로 검증 가능)
2. 빌드 시점 증명(컴파일 중 생성)
3. 회귀 테스트(취약한 코드 경로를 실행)
4. VEX 억제(스캐너 계층의 인정)

저장된 스캔 파일은 특정 시점의 증거일 뿐입니다.

### 스캐너가 보는 것(수정된 이미지)

| Package | Version                 | CVE-2024-6119                   | CVE-2026-42945                                      |
| ------- | ----------------------- | ------------------------------- | --------------------------------------------------- |
| libssl3 | 3.0.20-1~deb12u1        | 보고되지 않음(버전으로 수정됨) | 해당 없음                                           |
| nginx   | 1.25.5-1~bookworm+echo1 | 해당 없음                       | DB에 있으면 보고됨(백포트가 스캐너에 보이지 않음)   |

`--vex vex.json`을 사용하면 CVE-2026-42945 발견(스캐너 DB에 있는 경우)이 억제됩니다. VEX 문서의 유효성은 스캐너 출력만이 아니라 증명 체인(패치 파생, 빌드 증명, 회귀 테스트)에 의해 확립됩니다.

---

## 호환성 테스트

테스트 스위트(`test/compat.py`)는 `nginx:1.25-bookworm`과 `nginx-fixed`를 Docker 컨테이너로 부팅하고 동작을 비교합니다. 각 어설션은 수정된 라이브 이미지를 업스트림 라이브 이미지와 직접 테스트합니다.

**89개의 어설션. 모두 통과.**

또한 `test/test_cve_2026_42945.py`는 백포트된 CVE 수정을 구체적으로 대상으로 하는 약 20개의 어설션을 제공합니다(위의 "회귀 테스트" 참조).

| Category            | What is compared                                                    | Assertion count |
| ------------------- | ------------------------------------------------------------------- | --------------- |
| 이미지 메타데이터    | Entrypoint, Cmd, ExposedPorts, User, StopSignal, Env, Labels        | 7               |
| nginx -V 인수       | 구성 플래그가 동일함(`-ffile-prefix-map` 경로에 대해 정규화됨)      | 1               |
| 동적 모듈           | 업스트림 `.so` 파일 12개 모두 존재 + `/etc/nginx/modules` 심볼릭 링크 | 13              |
| nginx-debug 바이너리 | 디버그 -V에 `--with-debug` 및 `--with-http_v3_module` 존재          | 2               |
| 파일 시스템 레이아웃 | 약 20개의 주요 경로, /dev/stdout 및 /dev/stderr에 대한 로그 심볼릭 링크 | 약 20           |
| 사용자/그룹 구성    | `getent passwd/group nginx` 출력이 동일함                            | 2               |
| dpkg 설정 파일      | `dpkg-query`가 default.conf 및 nginx.conf를 설정 파일로 보고         | 1               |
| 패키지 제공         | `dpkg -s nginx`가 `Provides: nginx-r1.25.5`를 표시                   | 1               |
| NJS 바이너리        | `njs -v`가 0.8.4를 반환                                              | 1               |
| IPv6 엔트리포인트   | `10-listen-on-ipv6-by-default.sh`가 default.conf를 동일하게 변경      | 1               |
| Envsubst 템플릿     | `NGINX_ENVSUBST` 템플릿 대체가 동일한 출력을 생성함                  | 1               |
| 시작 로그           | 모든 엔트리포인트 로그 줄이 업스트림 형식과 일치                      | 1               |
| HTTP GET/HEAD/POST  | 여러 엔드포인트에 대해 응답 본문, 상태, 헤더 일치                    | 약 10           |
| 잘못된 요청        | 원시 TCP 오류 응답이 동일함                                           | 1               |
| 정적 파일 서빙     | 마운트된 파일이 올바른 내용으로 제공됨                                | 1               |
| TLS 종료            | 자체 서명 인증서로 HTTPS가 동일하게 작동                              | 1               |
| 정상 종료           | SIGQUIT가 깔끔한 종료(코드 0)를 생성                                  | 1               |
| 설정 리로드         | SIGHUP이 재시작 없이 새 구성을 적용함                                  | 1               |
| 동시 요청           | 50개의 병렬 요청이 모두 200을 반환                                    | 1               |

### 테스트되지 않은 것

- HTTP/3 QUIC 프로토콜 동작(`--with-http_v3_module` 플래그 존재만 확인, UDP/QUIC 트래픽은 전송되지 않음)
- 부하 시 성능 또는 지연 시간 특성
- 가능한 모든 nginx 구성 지시문
- 거의 사용되지 않는 동적 모듈(GeoIP, image_filter, XSLT)의 동작을 `.so` 파일이 디스크에 존재하는지 확인하는 것 외에는 테스트하지 않음

실행:```bash
make test

주요 패키징 결정 사항:

- **`libssl3 (>= 3.0.14)`** - 패치된 OpenSSL을 명시적으로 요구합니다 (업스트림은 `>= 3.0.0` 선언). 이는 CVE-2024-6119 수정을 강제하는 메커니즘입니다.
- **`Provides: nginx-r1.25.5`** - 이 가상 패키지에 의존하는 동적 모듈 패키지를 충족시킵니다.
- **Conffiles**가 dpkg에 등록됨: `/etc/nginx/nginx.conf` 및 `/etc/nginx/conf.d/default.conf`. 이는 IPv6 엔트리포인트 스크립트의 `dpkg-query --showformat` 검사에 필요합니다.
- **postinst**는 uid/gid 101 및 셸 `/bin/false`로 nginx 사용자/그룹을 생성합니다 (업스트림과 일치하며 테스트 스위트에서 확인됨).
- 포함 항목: nginx 바이너리, nginx-debug 바이너리, 모든 12개의 `.so` 모듈, 전체 `/etc/nginx` 설정 트리, init.d/systemd/logrotate 파일, man 페이지, HTML 기본값, 그리고 `/etc/nginx/modules` → `/usr/lib/nginx/modules` 심볼릭 링크.

---

## 설계 결정 및 절충점

1. **패키지 이름은 `nginx`이며 `nginx-custom`이 아닙니다.** 이름을 바꾸면 스캐너가 nginx 권고와 일치시키지 못합니다. 수정되지 않은 것을 포함한 모든 nginx CVE가 보고서에서 조용히 사라집니다. 이름을 `nginx`로 유지하면 정직한 스캐너 보고를 보장하고 VEX를 의미 있게 만듭니다.

2. **VEX는 CVE 가시성을 필요로 합니다.** VEX의 목적은 이미 보고된 CVE를 억제하는 것입니다. 스캐너가 CVE를 찾지 못하면 (패키지 이름 변경 또는 DB 타이밍으로 인해), VEX가 억제할 것이 없습니다.

3. **패키지 의존성으로 `libssl3 (>= 3.0.14)`.** 런타임 베이스가 우연히 패치된 OpenSSL을 가지고 있기를 기대하는 대신, `.deb`는 CVE-2024-6119 수정이 포함된 버전을 하드 요구합니다.

4. **스캐너 데이터베이스 변동성.** 권고 데이터베이스는 주기적으로 재구축됩니다. 한 주에 존재하는 CVE가 다음 주에는 없을 수 있습니다. 이 저장소에 저장된 스캔 파일은 특정 시점의 증거이며, 현재 스캔은 다를 수 있습니다.

5. **사용된 AI 도구.** GitHub Copilot이 패치 분석(nginx 1.25.5 및 1.30.1 소스 트리 비교), 테스트 스위트 구조, 패키지 이름 변경 스캐너 회피 문제 식별, VEX 문서 작성에 도움을 주었습니다. Debian 패키징 세부 사항 및 Grype 버전 일치 휴리스틱은 수동 검증이 필요했습니다.