Nginx UI: Authentifizierungsumgehung, Passkey als zweiter Faktor wird beim Login nicht erzwungen
Zusammenfassung
Nginx UI, eine Weboberfläche für den Nginx-Webserver, erzwingt beim Passwort-Login für Konten mit Passkey ohne TOTP-Geheimnis keinen registrierten Passkey. Der Login-Endpunkt prüft nur TOTP, daher erhält ein solches Konto nach der reinen Passwortprüfung eine vollständige Sitzung. Ein Angreifer, der das Passwort erlangt (zum Beispiel durch Phishing, Passwortwiederverwendung oder einen Datenabfluss), kann das Konto übernehmen und auf administrative Funktionen zugreifen, einschliesslich des Terminal-Features, das eine Host-Shell ermöglicht.
Betroffen
- Nginx UI von 2.0.0 bis vor 2.5.0 (Bereich laut CNA)
- Das Herstellerdokument nennt Versionen bis 2.3.11; PT Security nennt bis 2.4.9 und VulDB bis 2.4.x
- Konten mit Passkey und ohne TOTP sind betroffen
Behoben in
- Version 2.5.0 (Fix-Commit 95cd21b70814e5d9a48a359aa238aeea1ac97429)
- Version 2.5.1 ist ein Hotfix, der alle Änderungen von 2.5.0 enthält; spätere Releases existieren, wurden aber nicht verifiziert
Umgehung
- Vom Hersteller ist keine Workaround-Massnahme dokumentiert.
- Den Zugriff auf die Admin-Oberfläche bis zur Installation des Updates auf VPN- oder Management-Netze beschränken.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden. CISA SSVC stuft die Ausnutzung als PoC, Automatisierbarkeit als nein und die technische Auswirkung als total ein.
- Das Advisory beschreibt einen Proof of Concept; ein öffentlicher PoC ist anzunehmen.
- Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog (nicht direkt verifiziert).
Unsere Empfehlung
- Nginx UI auf Version 2.5.0 oder neuer aktualisieren, idealerweise auf die neueste stabile Version.
- Prüfen, ob die Admin-Oberfläche aus dem Internet erreichbar ist, und den Zugriff einschränken, falls er nicht benötigt wird.
- Starke, eindeutige Passwörter erzwingen und Admin-Logins von Konten prüfen, die nur auf einen Passkey setzen.
- Geheimnisse rotieren, falls die Installation jemals Version 2.3.6 oder älter war oder ein Backup aus einer solchen Version wiederhergestellt wurde, wie in den Release-Notes zu 2.5.0 beschrieben.
- Zusätzlich CVE-2026-107807 (Node.Secret über Query-Parameter) prüfen, das dieselben Versionen betrifft und gemeinsam gepatcht werden sollte.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-45gv-9wjv-xh7p github.com
- Fix commit 95cd21b70814e5d9a48a359aa238aeea1ac97429 github.com
- Nginx UI release v2.5.0 github.com
- Nginx UI release v2.5.1 github.com
- OSV GHSA-45gv-9wjv-xh7p osv.dev
- VulDB 415942 vuldb.com
- PT Security PT-2026-108957 vulners.com
- Nginx UI WebAuthn configuration guide nginxui.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:24.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.