Nginx UI: Umgehung der Authentifizierung zwischen Knoten durch offengelegte Knoten-Token

Zusammenfassung

Nginx UI in den Versionen 2.0.0 bis vor 2.5.0 gibt das Knoten-Token in den API-Antworten von /api/nodes und /api/nodes/:id zurück. Jeder authentifizierte Benutzer, auch ohne Administratorrechte, kann dieses Token auslesen. Das Token wird als X-Node-Secret akzeptiert und gewährt der Anfrage die Rechte des internen Kontos initUser, sodass ein Angreifer einen vertrauenswürdigen Knoten gegenüber einem erreichbaren Cluster-Mitglied imitieren kann. Dadurch können sensitive Verwaltungsfunktionen wie die Konfigurationssynchronisation und der Neustart von Diensten offengelegt werden.

Betroffen

• Nginx UI 2.0.0 bis vor 2.5.0
• Herstellerhinweis: betroffen >= 2.0.0, < 2.5.0

Behoben in

• Behoben in Nginx UI 2.5.0 (Fix-Commit 0ecbd106c37b5143be14880c9447a66135151512)
• Spätere Versionen, einschliesslich 2.5.1 und 2.5.2, enthalten die Korrektur

Umgehung

• Unbekannt. Kein vom Hersteller veröffentlichter Workaround gefunden. Ein Update ist die empfohlene Behebung.

Ausnutzung

• CISA SSVC: Exploitation-Status poc, automatisierbar: nein, technische Auswirkung: total
• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn gefunden
• Der Angriff erfordert einen gültigen Login mit niedrigen Rechten und Netzwerkzugriff auf die Nginx-UI-Instanz

Unsere Empfehlung

• Nginx UI auf 2.5.0 oder neuer aktualisieren, vorzugsweise auf die neueste stabile Version
• Das Knoten-Secret (NGINX_UI_NODE_SECRET) auf jeder Instanz und das JWT-Secret erneuern und danach neu starten
• In Nginx UI hinterlegte nachgelagerte Zugangsdaten erneuern und Administratorkonten sowie Zugriffsprotokolle auf unautorisierte Aktivitäten prüfen
• In Clustern vor dem Erneuern gemeinsamer Secrets prüfen, dass jede Knotenbeziehung 'Paired signature' anzeigt
• Den Zugriff auf das Admin-Interface auf Management-Netze beschränken und nicht aus dem Internet erreichbar machen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-32gc-wf3m-78w9 github.com
• Nginx UI release v2.5.0 github.com
• Fix commit 0ecbd106c37b5143be14880c9447a66135151512 github.com
• Nginx UI release v2.5.1 github.com
• OSV entry CVE-2026-107811 osv.dev
• Nginx UI node configuration guide nginxui.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:53.