SK-CERT Bezpečnostné varovanie V20260309-01

Dôležitosť	Kritická
Klasifikácia	Neutajované/TLP:CLEAR
CVSS Skóre	9.8

Identifikátor

nginx-ui – kritická bezpečnostná zraniteľnosť

Popis

Vývojári nástroja NGINX UI vydali bezpečnostné aktualizácie svojho produktu, ktoré opravujú kritickú bezpečnostnú zraniteľnosť. Kritická bezpečnostná zraniteľnosť s identifikátorom CVE-2026-27944 spočíva v nedostatočnej implementácii mechanizmov autentifikácie, čo má za následok verejnú dostupnosť API endpointu /api/backup, ktorý navyše v rámci X-Backup-Security hlavičiek leakuje šifrovací kľúč potrebný na dešifrovanie záloh. Predmetnú zraniteľnosť by vzdialený, neautentifikovaný útočník mohol zneužiť na stiahnutie a dešifrovanie serverových záloh. Tie obsahujú citlivé údaje zneužiteľné pre zmapovanie sieťového prostredia obete, ako aj prihlasovacie údaje a kryptografický materiál, ktorý možno zneužiť v rámci nadväzujúcich útokov. Dostupný je aj Proof of Concept kód demonštrujúci mechanizmus zneužitia zraniteľnosti.

Dátum prvého zverejnenia varovania

8.3.2026

CVE

CVE-2026-27944

IOC

–

Zasiahnuté systémy

nginx-ui vo verzii staršej ako 2.3.3

Následky

Neoprávnený prístup k citlivým údajom Neoprávnená zmena v systéme Zneprístupnenie služby

Odporúčania

Administrátorom a používateľom odporúčame bezodkladne vykonať aktualizáciu zasiahnutých systémov. Po odstránení zraniteľností, ktoré mohli spôsobiť získanie prístupu k citlivým údajom je dobrou praxou zmena všetkých hesiel a kľúčov na dotknutom systéme a aj na iných systémoch, kde sa používalo rovnaké heslo či kľúč. Manažmentové rozhrania neodporúčame vystavovať do otvoreného internetu. Ak je potrebný vzdialený prístup, použite virtuálnu súkromnú sieť (VPN). Dodatočné ochranné prvky ako IP allowlisting, viacfaktorová autentifikácia a segmentácia siete môžu pomôcť mitigovať riziko.

Zdroje

https://github.com/0xJacky/nginx-ui/security/advisories/GHSA-g9w5-qffc-6762 https://securityaffairs.com/189123/security/critical-nginx-ui-flaw-cve-2026-27944-exposes-server-backups.html

« Späť na zoznam