Nginx UI: Authentifizierte Remote Code Execution über Backup-Wiederherstellung

Zusammenfassung

Nginx UI, eine Weboberfläche zur Verwaltung des Webservers nginx, erlaubt einem authentifizierten Administrator mit aktiver sicherer Sitzung, über POST /api/restore ein manipuliertes Backup wiederherzustellen. Die Wiederherstellung ersetzt die produktive app.ini, einschliesslich geschützter nginx-Befehlseinstellungen wie TestConfigCmd. Anschliessend führt der Aufruf von POST /api/nginx/test den vom Angreifer definierten Befehl im Laufzeitkontext von Nginx UI aus, was Vertraulichkeit, Integrität und Verfügbarkeit beeinträchtigen kann. Für die Ausnutzung sind Administratorrechte nötig; die NVD-Bewertung lautet 9.4 (CVSS 4.0, PR:H).

Betroffen

• nginx-ui 2.3.8 bis und mit Version vor 2.5.0
• Go-Modul github.com/0xJacky/Nginx-UI: Versionen >= 2.3.8, < 2.5.0
• Docker-Images und Binaries: genaue Build-Tags nicht bestätigt; beim Hersteller prüfen

Behoben in

• Version 2.5.0 (Fix-Commit a467ed652591fc0cd1b466a1ec751b493faef9f7)
• Version 2.5.1 ist ein Hotfix, der alle Änderungen von 2.5.0 enthält

Umgehung

• Vom Hersteller nicht dokumentiert. Unbekannt.
• Zugriff auf das Administrationsinterface als Übergangsmassnahme einschränken (VPN oder IP-Allowlist)

Ausnutzung

• Öffentlich verfügbarer Proof-of-Concept-Exploit vorhanden (GitHub-Repository murrez/CVE-2026-107806).
• CISA SSVC: Exploitation poc, automatisierbar: nein, technische Auswirkung: total.
• Nicht im CISA-KEV-Katalog bestätigt; keine Berichte über Ausnutzung in freier Wildbahn gefunden.
• EPSS 0.00571 zum Zeitpunkt der Recherche.

Unsere Empfehlung

• Alle Nginx-UI-Instanzen inklusive Container inventarisieren und deren Versionen erfassen.
• Auf Version 2.5.0 oder neuer aktualisieren; 2.5.1 oder neuer wird bevorzugt.
• War eine Instanz während der Verwundbarkeit exponiert, Administratorkonten, Logs und Backup-/Wiederherstellungsaktivitäten prüfen.
• Laut Hersteller Node-Secret, JWT-Secret und nachgelagerte Zugangsdaten rotieren, falls eine Installation der Version 2.3.6 oder älter betroffen war oder ein solches Backup wiederhergestellt wurde.
• Administrativen Zugriff einschränken und MFA oder Passkeys erzwingen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  murrez/CVE-2026-107806

Quellen der Recherche

• GitHub Security Advisory GHSA-p393-cf76-4jmr github.com
• Nginx UI release v2.5.0 github.com
• Fix commit a467ed652591fc0cd1b466a1ec751b493faef9f7 github.com
• OSV entry CVE-2026-107806 osv.dev
• Nginx UI release v2.5.1 github.com
• GitLab advisory CVE-2026-107806 advisories.gitlab.com
• Public PoC repository murrez/CVE-2026-107806 github.com
• Vulners RAPID7 entry CVE-2026-107806 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:08.