Nginx UI: Umgehung der Konfigurationsprüfung ermöglicht Codeausführung

Zusammenfassung

Nginx UI, eine Weboberfläche zur Verwaltung von Nginx, prüft in der Nginx-Konfiguration nur die erste Direktive jeder Zeile, obwohl Nginx mehrere durch Semikolon getrennte Direktiven pro Zeile akzeptiert. Ein authentifizierter Benutzer kann eingeschränkte Direktiven wie load_module, js_import, perl, user root oder ein nicht eingeschränktes include nach einer harmlosen Direktive in derselben Zeile verstecken. Dadurch wird die Prüfung bei den Schreibpfaden REST, Konfigurationsänderung, Site und Stream umgangen, und wenn ein ausführbares Modul verfügbar ist, kann die eingeschleuste Konfiguration Code im Kontext des Nginx-Workers ausführen.

Betroffen

• Nginx UI (0xJacky/nginx-ui) vor 2.4.1
• Go-Modul github.com/0xJacky/nginx-ui: Pseudo-Version-Bereich unterhalb von 1.9.10-0.20260703131214-23d1934099b0

Behoben in

• Nginx UI 2.4.1 (Fix-Commit 23d1934099b05b2a01589b48129dc3d3159d91c2)

Umgehung

Unbekannt. Die Herstellerwarnung verweist auf die Korrektur, und es wurde keine dokumentierte Zwischenmassnahme gefunden.

Ausnutzung

• CISA SSVC führt die Ausnutzung als PoC, nicht automatisierbar, mit totaler technischer Auswirkung.
• In den geprüften Quellen nicht im CISA-KEV-Katalog gelistet.
• Es ist keine Ausnutzung in freier Wildbahn bekannt. Die Quellen widersprechen sich zur Verfügbarkeit öffentlicher Exploits.

Unsere Empfehlung

• Nginx UI umgehend auf Version 2.4.1 oder neuer aktualisieren.
• Den Zugriff auf die Nginx-UI-Oberfläche auf Administrationsnetze oder VPN beschränken und nicht aus dem Internet erreichbar machen.
• Konten mit Schreibzugriff einschränken und starke Passwörter sowie Zwei-Faktor-Authentifizierung durchsetzen.
• Kürzliche Konfigurationsänderungen auf mehrere Direktiven in einer Zeile prüfen.
• Prüfen, ob der Nginx-Build die Module njs oder perl enthält, und Logs auf unerwartete Konfigurationsänderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub security advisory GHSA-cf23-7qxj-xmhr github.com
• Nginx UI release v2.4.1 github.com
• Fix commit 23d1934 github.com
• OSV record CVE-2026-84316 osv.dev
• OSV record GO-2026-6782 osv.dev
• VulDB entry 417245 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:21.