Nginx UI: Umgehung der Step-up-Authentisierung in MCP-Konfigurationswerkzeugen

Zusammenfassung

Nginx UI, eine Weboberfläche zur Verwaltung des Webservers Nginx, prüft auf den MCP-Routen /mcp und /mcp_message nicht die OTP-Sicherheitssitzung. Ein authentifizierter Benutzer mit aktivierter OTP und einem normalen JWT, aber ohne gültige Sicherheitssitzung, kann die Nginx-Konfiguration hinzufügen oder ändern und ein Neuladen auslösen. Der Angreifer benötigt gültige Zugangsdaten, daher besteht das Risiko vor allem bei gestohlenen Konten, Phishing, böswilligen Insidern und bei aus dem Internet erreichbaren Instanzen.

Betroffen

• 0xJacky Nginx UI in Versionen vor 2.4.1

Behoben in

• Auf Nginx UI 2.4.1 oder neuer aktualisieren (Korrektur des Herstellers).
• Unbekannt: ob der Tag v2.4.1 den Fix-Commit 23d1934 enthält; die Release-Seite zeigt einen anderen Kurz-Hash (0540f3e). Vor dem Vertrauen auf den Tag prüfen.
• Eine spätere stabile Version wird empfohlen; v2.4.2 und neuer sind in öffentlichen Quellen aufgeführt, der Umfang der Korrektur für diese CVE ist jedoch nicht verifiziert.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Zugriff auf die Nginx-UI-Oberfläche auf Management-Netze oder VPN beschränken.
• /mcp und /mcp_message auf einem Reverse Proxy blockieren oder einschränken (Empfehlung der Analysten, nicht vom Hersteller).
• MCP deaktivieren, falls es nicht genutzt wird.

Ausnutzung

• CISA-SSVC-Bewertung: Exploitation: poc, Automatable: no, Technical Impact: partial.
• In den geprüften Quellen wurde keine Ausnutzung in freier Wildbahn gefunden.
• Laut einem Aggregator nicht im CISA-KEV-Katalog; nicht direkt geprüft.
• EPSS 0.00347 (niedrig).

Unsere Empfehlung

• Nginx UI auf 2.4.1 oder, vorzugsweise, die neueste stabile Version aktualisieren.
• Prüfen, dass /mcp und /mcp_message nicht aus dem Internet erreichbar sind.
• Zugriff auf die Administrationsoberfläche auf interne Netze oder MFA-geschützten VPN-Zugang beschränken.
• Konten mit aktivierter OTP und kürzlichen Konfigurationsänderungen überprüfen.
• Das verwaltete Nginx-Konfigurationsverzeichnis auf unerwartete Dateien oder Änderungen prüfen.
• Logs auf Anfragen an /mcp und /mcp_message von unbekannten Quellen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-vc32-4gwf-77xp github.com
• Fix commit 23d1934 github.com
• Release v2.4.1 github.com
• OSV entry CVE-2026-84360 osv.dev
• Go vulnerability GO-2026-6799 pkg.go.dev
• GitLab advisory database entry for CVE-2026-84360 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:56.