CVE-2026-27944

Nginx UI: nieuwierzytelniony dostęp do backupu z ujawnieniem kluczy szyfrowania

CVSS 9.8v3.1pub. 2026-03-05upd. 2026-03-10

W aplikacji Nginx UI przed wersją 2.3.3 endpoint /api/backup był dostępny bez uwierzytelnienia i ujawniał klucze szyfrowania w nagłówku odpowiedzi HTTP. Umożliwia to nieuwierzytelnionemu atakującemu pobranie i natychmiastowe odszyfrowanie pełnej kopii zapasowej systemu zawierającej dane wrażliwe.

▸ Pokaż oryginał (EN)

Nginx UI is a web user interface for the Nginx web server. Prior to version 2.3.3, the /api/backup endpoint is accessible without authentication and discloses the encryption keys required to decrypt the backup in the X-Backup-Security response header. This allows an unauthenticated attacker to download a full system backup containing sensitive data (user credentials, session tokens, SSL private keys, Nginx configurations) and decrypt it immediately. This issue has been patched in version 2.3.3.

🤖 Analiza AI

Jak działa

Podatność wynika z braku mechanizmu uwierzytelnienia (CWE-306) na endpoincie /api/backup oraz niezabezpieczonego przesyłania wrażliwych danych (CWE-311). Atakujący wysyła żądanie HTTP do /api/backup bez żadnych poświadczeń i pobiera archiwum backupu. Serwer zwraca jednocześnie klucze szyfrowania w nagłówku X-Backup-Security, co pozwala na natychmiastowe odszyfrowanie pobranego archiwum bez dodatkowych kroków.

Skutki

Atakujący uzyskuje dostęp do pełnej kopii zapasowej systemu zawierającej dane uwierzytelniające użytkowników, tokeny sesji, prywatne klucze SSL oraz konfiguracje Nginx, co w praktyce oznacza całkowite przejęcie kontroli nad systemem.

Mitygacja

Należy zaktualizować Nginx UI do wersji 2.3.3 lub nowszej, w której podatność została usunięta. Do czasu aktualizacji zaleca się ograniczenie dostępu sieciowego do interfejsu administracyjnego Nginx UI za pomocą firewall lub mechanizmów kontroli dostępu na poziomie sieci.