Descripción
Nginx UI es una interfaz web de usuario para el servidor web Nginx. Desde la versión 2.3.8 hasta la 2.5.0, un administrador autenticado con una sesión segura activa puede enviar a POST /api/restore material de clave de respaldo portable controlado por el atacante y un manifiesto correspondiente. El flujo de restauración confía en la clave proporcionada, descifra contenido controlado por el atacante y reemplaza el archivo app.ini en uso, incluidas configuraciones protegidas de comandos de nginx como TestConfigCmd. Al invocar luego POST /api/nginx/test se ejecuta el comando restaurado en el contexto de ejecución de Nginx UI, lo que afecta la confidencialidad, integridad y disponibilidad. Este problema está corregido en la versión 2.5.0.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- nginx-ui Afectadas: >= 2.3.8, < 2.5.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Referencia en github.comgithub.com/0xJacky/nginx-ui/security/advisories/GHSA-p393-cf76-4jmr
- Referencia en github.comgithub.com/0xJacky/nginx-ui/commit/a467ed652591fc0cd1b466a1ec751b493f…
- Referencia en github.comgithub.com/0xJacky/nginx-ui/releases/tag/v2.5.0
Ver el texto original en inglés (CVE.org)
Nginx UI: Authenticated Remote Code Execution via Backup Restore App Config Overwrite
Nginx UI is a web user interface for the Nginx web server. From 2.3.8 until 2.5.0, an authenticated administrator with an active secure session can submit attacker-controlled portable backup key material and a matching manifest to POST /api/restore. The restore flow trusts the supplied key, decrypts attacker-controlled contents, and replaces the live app.ini, including protected nginx command settings such as TestConfigCmd. Triggering POST /api/nginx/test then executes the restored command in the Nginx UI runtime context, affecting confidentiality, integrity, and availability. This issue is fixed in version 2.5.0.