nginx-ui: Umgehung eines Schutzmechanismus in der MCP-Konfigurationsschnittstelle
Zusammenfassung
Nginx UI, eine Weboberfläche zur Verwaltung von Nginx, wendet die Prüfung auf eingeschränkte Direktiven nicht auf die MCP-Konfigurationsschnittstelle an. Ein authentifizierter Zweitbenutzer kann dadurch eingeschränkte Direktiven wie load_module und js_import schreiben, das NJS-Modul laden und vom Angreifer kontrolliertes JavaScript im Nginx-Worker-Kontext ausführen. Der Angriff setzt ein gültiges Benutzerkonto, aktiviertes MCP und ein verfügbares NJS-Modul voraus.
Betroffen
- nginx-ui-Versionen vor 2.4.1
Behoben in
- Behoben in Version 2.4.1 (Fix-Commits 23d1934099b05b2a01589b48129dc3d3159d91c2 und 0540f3ecf7824e9adbe408f3166d151651ccf4dd gemäss OSV)
- Spätere Versionen (zum Beispiel 2.4.2) existieren; unbekannt ist, ob sie zusätzliche Korrekturen für dieses Problem enthalten
Umgehung
- Kein offizieller Workaround veröffentlicht.
- MCP-Schnittstelle deaktivieren, falls sie nicht benötigt wird.
- Zugriff auf die nginx-ui-Administrationsoberfläche auf vertrauenswürdige Netzwerke beschränken.
- Prüfen, welche Konten Zugriff auf nginx-ui haben.
Ausnutzung
- Gemäss einer Drittquelle nicht als aktiv ausgenutzt bekannt; nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept identifiziert (nicht verifiziert).
- EPSS etwa 0.0028 (Vulners).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
Unsere Empfehlung
- nginx-ui auf die neueste stabile Version aktualisieren, mindestens auf 2.4.1.
- Prüfen, ob die MCP-Schnittstelle aktiviert ist, und sie deaktivieren, falls nicht benötigt.
- Benutzerkonten überprüfen und nicht benötigte Zweitkonten entfernen; starke Passwörter erzwingen.
- Zugriff auf nginx-ui auf vertrauenswürdige Administratoren und Netzwerke beschränken.
- Nginx-Konfigurationsänderungen auf unerwartete load_module- oder js_import-Direktiven überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-5r62-gj48-897x github.com
- Fix commit 23d1934 github.com
- Release v2.4.1 github.com
- OSV CVE-2026-84319 osv.dev
- OpenCVE CVE-2026-84319 app.opencve.io
- Vulners RAPID7:CVE-2026-84319 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.