nginx

Das TLS-Protokoll sowie SSL 3.0 und frühere Versionen weisen eine Schwachstelle auf, die in verschiedenen Implementierungen wie nginx genutzt wird und Angreifern ermöglicht, Daten in eine Verbindung einzuschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 87.3 %.

In Nginx UI, der Weboberfläche für den Nginx-Webserver, sind in den Versionen 2.3.5 und früher die HTTP-Endpunkte /mcp und /mcp_message der MCP-Integration (Model Context Protocol) ohne Authentifizierung erreichbar und ermöglichen so einen unauthentifizierten Zugriff. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 13.2 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

In Nginx UI, einer Web-Oberfläche für den Nginx-Webserver, war der Endpunkt /api/backup vor Version 2.3.3 ohne Authentifizierung erreichbar und legte dabei die zur Entschlüsselung von Backups benötigten Schlüssel offen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 7.3 %.

In der Komponente HTTP Header Handler von nginx wurde laut NVD eine Schwachstelle in der Funktion FUN_0040da4c festgestellt, die laut Quellbeschreibung im Zusammenhang mit TRENDnet TEW-WLC100 in Version 1v2.07b01 steht. Eine Manipulation der Header-Verarbeitung wird als Ursache genannt; weitere technische Details liegen in den Quelldaten nicht vollständig vor. CVSS-Basiswert: 10 (Kritisch).

Roxy-WI ist eine Weboberfläche zur Verwaltung von HAProxy-, Nginx-, Apache- und Keepalived-Servern. In Version 8.2.6.4 und älter sind die HAProxy-section-save-Endpunkte (POST /api/service/haproxy/<server_id>/section/) angreifbar; die Quellbeschreibung liegt nur gekürzt vor. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H – für die Ausnutzung über das Netz genügen niedrige Privilegien, der Scope wechselt. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Da Roxy-WI die Konfiguration der verwalteten Server schreibt, betrifft eine Kompromittierung die gesamte dahinterliegende Proxy-/Webserver-Landschaft.

Roxy-WI ist eine Weboberfläche zur Verwaltung von HAProxy-, Nginx-, Apache- und Keepalived-Servern. In den Versionen bis einschliesslich 8.2.6.4 akzeptiert der Endpunkt POST /waf/<service>/<server_ip>/rule/<rule_id>/save einen frei wählbaren Konfigurationsdateinamen. CVSS-Basiswert: 9.9 (Kritisch) bei netzbasiertem Angriffsvektor mit nur geringen Rechten und ohne Nutzerinteraktion. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 8.2.6.4 aktualisieren.

Nginx UI, eine Weboberfläche für den Nginx-Webserver, stellt vor Version 2.3.8 über den Endpunkt POST /api/restore eine Backup-Wiederherstellungsfunktion bereit, die in einer Anfangsphase völlig ohne Authentifizierung erreichbar ist. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Update auf Nginx UI 2.3.8 oder neuer.

Roxy-WI, eine Weboberfläche zur Verwaltung von HAProxy-, Nginx-, Apache- und Keepalived-Servern, deklariert laut NVD in Version 8.2.6.4 und älter im Install-Blueprint lediglich bp.before_request → @jwt_required(), womit die Absicherung der Routen unvollständig bleibt. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Roxy-WI auf eine Version neuer als 8.2.6.4 aktualisieren; betroffen sind die damit verwalteten Webserver-Dienste.

Roxy-WI ist eine Weboberfläche zur Verwaltung von HAProxy-, Nginx-, Apache- und Keepalived-Servern. In Version 8.2.6.4 und älter prüft der Endpunkt PUT /smon/check (app/routes/smon/routes.py:117-138) die Berechtigungen nur unzureichend, sodass angemeldete Benutzer mit geringen Rechten Aktionen ausserhalb ihres Zuständigkeitsbereichs auslösen können. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Nginx UI vor Version 2.3.4 erlaubt der Backup-Restore-Mechanismus laut NVD, verschlüsselte Backup-Archive zu manipulieren und schädliche Inhalte einzuschleusen. Gemäss CVSS-Vektor reicht die Auswirkung über die verwundbare Komponente hinaus. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: auf Nginx UI 2.3.4 oder neuer aktualisieren.

Nginx UI ist eine Weboberfläche für den Nginx-Webserver. In Versionen vor 2.0.0-beta.36 wird bei der Konfiguration von logrotate die Eingabe nicht geprüft und direkt an exec.Command übergeben, was die Ausführung beliebiger Befehle ermöglicht. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Auf Version 2.0.0-beta.36 oder neuer aktualisieren.

In NginxProxyManager 2.11.3 besteht eine Command-Injection-Schwachstelle in der Funktion requestLetsEncryptSsl. Ein Angreifer kann darüber Remote-Code-Ausführung erzielen, indem er ein Let's-Encrypt-Zertifikat hinzufügt. Über die manipulierte Eingabe lassen sich beliebige Systembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch).

Nginx-UI ist eine Weboberfläche zur Verwaltung von Nginx-Konfigurationen. Die Funktion Import Certificate prüft nicht, ob die Benutzereingabe tatsächlich ein Zertifikat bzw. Schlüssel ist, und erlaubt das Schreiben an beliebige Pfade im System. Durch Überschreiben der Konfigurationsdatei app.ini lässt sich die Schwachstelle zu Remote Code Execution ausbauen. Version 2.0.0.beta.12 behebt das Problem. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf Version 2.0.0.beta.12 oder neuer aktualisieren.

NGINX Plus und NGINX Open Source enthalten eine Schwachstelle im Modul ngx_http_rewrite_module. Sie tritt auf, wenn auf die rewrite-Direktive eine rewrite-, if- oder set-Direktive folgt. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 68.0 %. Laut einem manuell erfassten Hinweis (reddit:r/threatintel) wurde ein Exploit für diese Lücke auf einem offen zugänglichen Staging-Server in Singapur entdeckt – zusammen mit einem AdaptixC2-Server und nach Ländern und Sektoren geordneten Ziellisten über elf Länder, konzentriert auf Regierung, Universitäten, Gesundheitswesen und Finanzsektor.

In NGINX Open Source und NGINX Plus besteht eine Schwachstelle im Modul ngx_http_dav_module, über die ein Angreifer einen Buffer Overflow im NGINX-Worker-Prozess auslösen kann. Ubuntu adressiert die Lücke in USN-8375-1. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 21.0 %. Empfohlene Massnahme: Die Aktualisierungen gemäss nginx-Security-Advisory bzw. der eingesetzten Distribution einspielen.

In ingress-nginx wurde eine Sicherheitslücke entdeckt, bei der die Ingress-Annotation nginx.ingress.kubernetes.io/rewrite-target zur Einschleusung von Konfiguration in nginx missbraucht werden kann. Dies kann zur Ausführung beliebigen Codes führen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 6.3 %.

NGINX Plus und NGINX Open Source enthalten eine Schwachstelle in den Modulen ngx_http_proxy_v2_module und ngx_http_grpc_module. Sie tritt auf, wenn die Direktive proxy_http_version auf 2 gesetzt ist oder grpc_pass verwendet wird. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 4.0 %.

NGINX Open Source weist eine Schwachstelle im Modul ngx_http_v3_module auf. Ist NGINX Open Source zur Nutzung des HTTP/3-QUIC-Moduls konfiguriert, kann ein entfernter, nicht authentifizierter Angreifer unter bestimmten Bedingungen die Lücke ausnutzen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 3.7 %. Empfohlene Massnahme: die von nginx bereitgestellten Sicherheitsupdates einspielen.

In NGINX Plus und NGINX Open Source besteht laut NVD eine Schwachstelle im map-Directive: Nutzt die Direktive regulären Ausdrucksabgleich und referenziert ein String-Ausdruck die Regex-Capture-Variablen der map, bevor die map-Ausgabe selbst referenziert wird, kann dies zu Fehlverhalten führen. Ubuntu greift die Lücke zusätzlich in der Security Notice USN-8563-2 (nginx regression) auf. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 3.5 %.

In ingress-nginx können bestimmte Kombinationen von Ingress-Annotationen zur Einschleusung von nginx-Konfiguration missbraucht werden. Dies kann zur Ausführung beliebigen Codes im Kontext des nginx-Prozesses führen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.5 %.

In der 32-Bit-Implementierung von NGINX Open Source wurde eine Schwachstelle im Modul ngx_http_mp4_module identifiziert. Ein Angreifer könnte dadurch einen Over-Read oder Over-Write im NGINX-Worker-Speicher auslösen, was zur Beendigung des Worker-Prozesses führen kann. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Empfohlene Massnahme: die von nginx bereitgestellten Sicherheitsupdates einspielen.

Wenn das ngx_mail_auth_http_module-Modul in NGINX Plus oder NGINX Open Source aktiviert ist, können nicht näher beschriebene Anfragen zum Beenden von Worker-Prozessen führen. Das Problem kann auftreten, wenn CRAM-MD5- oder APOP-Authentifizierung verwendet wird. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: verfügbare NGINX- bzw. Distributions-Updates (u. a. Ubuntu USN) einspielen.

Nginx Proxy Manager in den Versionen 2.9.14 bis 2.15.1 (behoben im Commit a5db5ed) enthält eine authentifizierte Remote-Code-Execution-Schwachstelle über OS Command Injection in der Funktion setupCertbotPlugins(). CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Eine aktive Ausnutzung (CISA KEV) oder ein Einsatz in Ransomware-Kampagnen sind nicht belegt.

In NGINX Open Source und NGINX Plus wurde eine Schwachstelle im Modul ngx_http_mp4_module gefunden. Ein Angreifer kann dadurch einen Buffer Over-Read oder Over-Write im NGINX-Worker-Speicher auslösen. CVSS-Basiswert: 7.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: die vom Hersteller bzw. Distributor bereitgestellten Updates einspielen (u. a. Ubuntu USN-8375-1).

Wird NGINX Plus als Data Plane für NGINX Gateway Fabric betrieben, besteht eine Injection-Schwachstelle in der Komponente, die die NGINX-Konfiguration generiert. Vom Benutzer bereitgestellte Zeichenketten können dabei in die erzeugte Konfiguration eingeschleust werden. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Updates für NGINX Gateway Fabric einspielen.

Wird NGINX Plus oder NGINX Open Source als Data Plane für NGINX Gateway Fabric eingesetzt, besteht eine Injection-Schwachstelle in der Komponente zur Erzeugung der NGINX-Konfiguration von NGINX Gateway Fabric. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Nginx UI von Version 2.0.0 bis vor Version 2.3.8 kann ein unauthentifizierter Netzwerkangreifer das initiale Administrator-Konto einer frisch installierten nginx-ui-Instanz übernehmen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Nginx UI vor Version 2.3.4 besteht eine Race-Condition-Schwachstelle aufgrund vollständig fehlender Synchronisierungsmechanismen in der Anwendung. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Nginx UI Version 2.3.5 existiert ein unauthentifizierter Bootstrap-Takeover-Angriff über den Endpunkt POST /api/install während des initialen Installationsfensters. Ein nicht authentifizierter Angreifer kann dadurch die Erstkonfiguration der Instanz übernehmen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Nginx UI vor Version 2.3.5 verwenden alle WebSocket-Endpunkte einen gorilla/websocket Upgrader mit einer CheckOrigin-Funktion, die stets „true” zurückgibt. Dadurch ist kein Origin-Check vorhanden, was Cross-Site-Request-Forgery-Angriffe ermöglicht. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Nginx UI in Versionen 2.3.3 und früher ermöglicht eine Insecure Direct Object Reference (IDOR)-Schwachstelle jedem authentifizierten Benutzer den unberechtigten Zugriff auf Ressourcen anderer Nutzer. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Nginx UI vor Version 2.3.4 können von einem Administrator deaktivierte Benutzerkonten bereits ausgestellte API-Tokens bis zum Ablauf ihrer Gültigkeitsdauer weiterhin verwenden. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

In Nginx UI bis einschliesslich Version 2.3.4 können authentifizierte Benutzer eine Server-Side Request Forgery (SSRF) ausführen, indem sie einen Cluster-Knoten auf eine beliebige Zieladresse verweisen. CVSS-Basiswert: 8.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %.

Im NGINX Ingress Controller besteht eine Injection-Schwachstelle im Konfigurationsgenerator, wenn dieser über Custom Resource Definitions (CRDs) oder Ingress-Annotationen konfiguriert wird. Ein Angreifer mit den nötigen Berechtigungen kann darüber manipulierte Konfiguration einschleusen. Der Zugriffsvektor ist netzwerkbasiert und erfordert nur niedrige Privilegien. CVSS-Basiswert: 8.3 (Hoch).

Im NGINX Ingress Controller besteht eine Schwachstelle in der Validierung der Annotation nginx.org/rewrite-target. Softwareversionen, die das Ende des technischen Supports (End of Technical Support) erreicht haben, wurden nicht bewertet. CVSS-Basiswert: 8.3 (Hoch).

In OpenResty lua-nginx-module in Version 0.10.26 und davor kann laut Quelle ein entfernter Angreifer mittels einer präparierten HEAD-Anfrage HTTP Request Smuggling durchführen. CVSS-Basiswert: 7.7 (Hoch).

Nginx UI ist eine Weboberfläche für den Nginx-Webserver. In Nginx UI v2.0.0-beta.35 und früher wird ein JSON-Feldwert ohne ausreichende Prüfung übernommen, wodurch Werte in der Form ../../ konstruiert werden können. Dadurch lassen sich beliebige Dateien auf dem Server schreiben, was zum Verlust von Berechtigungen führen kann. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Version 2.0.0-beta.26 oder neuer.

In Nginx UI, einer Weboberfläche für den Nginx-Webserver, ist der Log-Pfad vor Version 2.0.0-beta.36 durch den Nutzer kontrollierbar. In Kombination mit dem Directory Traversal in /api/configs können dadurch Verzeichnisse und Dateiinhalte auf dem Server ausgelesen werden. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: auf Version 2.0.0-beta.36 oder neuer aktualisieren.

Ist NGINX Plus mit dem MQTT-Preread-Modul konfiguriert, können nicht näher beschriebene Requests zu einem Anstieg des Speicherverbrauchs führen. Software-Versionen, die das Ende des technischen Supports (EoTS) erreicht haben, wurden dabei nicht bewertet. CVSS-Basiswert: 7.5 (Hoch).

In jc21 NGINX Proxy Manager vor 2.11.3 ermöglicht eine OS-Command-Injection in backend/internal/certificate.js einem authentifizierten Benutzer mit Zertifikatsverwaltungsrechten das Einschleusen von Betriebssystembefehlen über nicht vertrauenswürdige Eingaben in der DNS-Provider-Konfiguration. Laut Quelle ist dies nicht Teil einer von F5 ausgelieferten NGINX-Software. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 2.11.3 oder neuer.

Nginx-UI, eine Weboberfläche zur Verwaltung von Nginx-Konfigurationen, erlaubt authentifizierten Angreifern über einen CRLF-Angriff beim Ändern von test_config_cmd oder start_cmd die Ausführung beliebiger Befehle. Die Lücke beruht auf einem unvollständigen Fix für CVE-2024-22197 und CVE-2024-22198. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf Version 2.0.0.beta.12 oder neuer aktualisieren.

Nginx-UI, eine Weboberfläche zur Serverüberwachung, blendet auf der Seite Home > Preference nur einen Teil der Nginx-Einstellungen ein, stellt über die API aber zusätzlich die Endpunkte test_config_cmd, reload_cmd und restart_cmd bereit. Obwohl die Oberfläche keine Änderung dieser Werte erlaubt, lassen sie sich durch direkte API-Aufrufe setzen. Dadurch sind authentifizierte Remotecode-Ausführung, Rechteausweitung und Offenlegung von Informationen möglich. CVSS-Basiswert: 7.7 (Hoch). Empfohlene Massnahme: Update auf Version 2.0.0.beta.9 oder neuer.

Nginx-UI ist eine Weboberfläche zur Verwaltung von Nginx-Konfigurationen und ist durch Missbrauch der Konfigurationseinstellungen für die Ausführung beliebiger Befehle anfällig. Die Seite Home > Preference zeigt Systemeinstellungen wie Run Mode, Jwt Secret, Node Secret und Terminal Start Command. Die Oberfläche erlaubt keine Änderung von Terminal Start Command, dies ist jedoch per API-Aufruf möglich, was zu authentifizierter Remote-Codeausführung, Rechteausweitung und Offenlegung von Informationen führen kann. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: Update auf Version 2.0.0.beta.9 oder neuer einspielen.

Nginx-UI, ein Web-Tool zur Überwachung von CPU-, Speicher-, Load- und Festplattenauslastung in Echtzeit, verarbeitet die Query-Parameter „order“ und „sort_by“ ungefiltert, wodurch Angreifer diese Werte manipulieren können. Dies kann zur Offenlegung von Informationen führen. CVSS-Basiswert: 7.0 (Hoch). Behoben in Version 2.0.0.beta.9. Empfohlene Massnahme: Update auf Version 2.0.0.beta.9 oder höher.

Im jc21 NGINX Proxy Manager bis Version 2.9.19 besteht eine OS-Command-Injection. Beim Anlegen einer Access-List baut das Backend eine htpasswd-Datei aus Benutzername und Passwort zusammen, ohne diese zu validieren, und übergibt sie direkt an einen exec-Aufruf; ein authentifizierter Angreifer kann so beliebige Systembefehle ausführen. Laut Quellbeschreibung ist dies ausdrücklich nicht Teil der von F5 ausgelieferten NGINX-Software. CVSS-Basiswert: 8.8 (Hoch).

Für nginx wurde eine Sicherheitslücke (CVE-2013-2028) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 87.5 %.

Für nginx wurde eine Sicherheitslücke (CVE-2016-0742) gemeldet; betroffen sind mehrere überwachte Produkte, darunter nginx selbst und F5. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 82.0 %.

Für die HTTP/2-Implementierung wurde eine Denial-of-Service-Schwachstelle (CVE-2019-9513) gemeldet; nginx und Synology (Synology-SA-19:33, HTTP/2 DoS Attacks) sowie weitere Hersteller führen entsprechende Sicherheitshinweise. Ausnutzungswahrscheinlichkeit (EPSS): 81.6 %.

Für nginx-Produkte wurde eine Sicherheitslücke (CVE-2009-2629) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 75.1 %.