Bezpečnostní experti varují před kritickou chybou v populárním nástroji nginx-ui, která je již aktivně zneužívána útočníky. Zranitelnost označená jako CVE-2026-33032 umožňuje útočníkům získat kompletní kontrolu nad serverem Nginx, na kterém je tento administrační nástroj nasazen.
Nginx-ui je otevřené webové rozhraní určené pro správu serveru Nginx, které umožňuje administrátorům konfigurovat virtuální hosty, SSL certifikáty a další parametry prostřednictvím grafického uživatelského rozhraní. Vzhledem k jeho rozšíření mezi správci serverů představuje tato chyba závažné riziko pro řadu internetových služeb.
Detaily zranitelnosti
Chyba spočívá v nedostatečné validaci vstupů v autentizačním modulu nástroje, což útočníkovi umožňuje obejít přihlašovací mechanismus a získat administrátorská oprávnění. Po úspěšném zneužití může útočník:
- spouštět libovolné příkazy na serveru,
- upravovat konfigurační soubory Nginx,
- nasadit škodlivý kód nebo backdoory,
- získat přístup k citlivým datům procházejícím přes server,
- využít kompromitovaný server k dalším útokům.
Bezpečnostní výzkumníci potvrdili, že zranitelnost je již využívána v reálných útocích. Pozorovány byly automatizované skenery, které cíleně vyhledávají zranitelné instance nginx-ui vystavené do internetu.
Experti také upozorňují, že administrační nástroje tohoto typu by obecně neměly být přímo vystaveny do veřejného internetu bez dodatečných ochranných vrstev, jako je VPN nebo reverzní proxy s vlastní autentizací.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
