BDU:2024-00625

Уязвимость пользовательского интерфейса Nginx UI сервера nginx, позволяющая нарушителю выполнить произвольные команды

Опубликовано: 2024-01-24

Описание

Уязвимость пользовательского интерфейса Nginx UI сервера nginx связана с непринятием мер по чистке данных на управляющем уровне. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды путем изменения параметра start_cmd

Затрагиваемое ПО и версии

Nginx UI (до 2.0.0.beta.9)

Способ устранения

Использование рекомендаций производителя:
https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-8r25-68wm-jw35
https://github.com/0xJacky/nginx-ui/commit/827e76c46e63c52114a62a899f61313039c754e3

Оценка CVSS

Балл	9 — высокая опасность

Источники и патчи

https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-8r25-68wm-jw35 https://github.com/0xJacky/nginx-ui/commit/827e76c46e63c52114a62a899f61313039c754e3 https://github.com/0xJacky/nginx-ui/blob/04bf8ec487f06ab17a9fb7f34a28766e5f53885e/api/system/settings.go#L18 https://github.com/0xJacky/nginx-ui/blob/04bf8ec487f06ab17a9fb7f34a28766e5f53885e/api/terminal/pty.go#L11 https://github.com/0xJacky/nginx-ui/blob/04bf8ec487f06ab17a9fb7f34a28766e5f53885e/internal/pty/pipeline.go#L29 https://github.com/0xJacky/nginx-ui/blob/04bf8ec487f06ab17a9fb7f34a28766e5f53885e/router/middleware.go#L45 https://github.com/0xJacky/nginx-ui/blob/04bf8ec487f06ab17a9fb7f34a28766e5f53885e/settings/server.go#L12

Проверьте безопасность своего сайта и почты → Полная проверка домена