Nginx UI: Fehlende OTP-Bestätigung bei sensitiven Mutationsrouten

Zusammenfassung

Nginx UI, eine Weboberfläche zur Verwaltung des Nginx-Webservers, erzwingt die OTP- oder Passkey-Bestätigung (RequireSecureSession) auf mehreren authentifizierten Routen nicht. Diese Routen ändern Backups, DNS-Zugangsdaten, Zertifikate, Nginx-Einstellungen sowie Site- und Stream-Konfigurationen. Ein Angreifer mit einer gestohlenen authentifizierten Sitzung kann diese sensitiven Änderungen ohne zweiten Faktor vornehmen. Der Hersteller hat das Problem in Version 2.4.1 behoben, ein Folgehinweis (CVE-2026-107813) meldet jedoch einen übersehenen Router, weshalb die Behebung unvollständig sein kann.

Betroffen

• Nginx UI-Versionen vor 2.4.1
• Der genaue betroffene Versionsbereich ist in den Quellen uneinheitlich; 2.4.1 dient als Referenz, die installierte Version ist in der Oberfläche oder am Binary zu prüfen

Behoben in

• Version 2.4.1 (Herstellerversion)
• Der Folgehinweis CVE-2026-107813 meldet einen Router, der von der Korrektur in 2.4.1 nicht abgedeckt ist; die korrigierte Version für diesen Fehler konnte nicht aus einer primären Quelle bestätigt werden. Unbekannt.

Umgehung

• Keine Herstellerumgehung dokumentiert.
• Den Zugriff auf die Nginx UI-Administrationsoberfläche auf ein Management-Netz oder ein VPN beschränken.

Ausnutzung

• Laut Trackern nicht als aktiv ausgenutzt bekannt; nicht im CISA-KEV-Katalog verzeichnet.
• In Primärquellen wurde kein öffentlicher Proof of Concept gefunden; der PoC-Status ist nicht verifiziert.
• CISA SSVC: Exploitation poc, Automatable no, Technical Impact partial.

Unsere Empfehlung

• Nginx UI auf 2.4.1 oder neuer aktualisieren und prüfen, ob die Korrektur für CVE-2026-107813 in der neuesten Version enthalten ist.
• Die Administrationsoberfläche auf ein internes Management-Netz oder ein VPN beschränken und nicht aus dem Internet erreichbar machen.
• Nach dem Patch aktive Sitzungen und Tokens widerrufen.
• OTP oder Passkeys für alle Administratorkonten aktivieren.
• Audit-Logs auf unerwartete Änderungen an Backups, Zertifikaten, DNS-Zugangsdaten und Reloads prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE-2026-84315 at OpenCVE app.opencve.io
• GitHub Security Advisory GHSA-5v7c-xpfp-p65m github.com
• Nginx UI release v2.4.1 github.com
• Fix commit 23d1934 github.com
• OSV CVE-2026-84315 osv.dev
• GitLab advisory CVE-2026-84315 advisories.gitlab.com
• GitLab advisory CVE-2026-107813 (follow-up) advisories.gitlab.com
• CVE record (CVE List V5) raw.githubusercontent.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:55.