| タイトル | Nginx UI TeamのNginx UIにおけるコードインジェクションの脆弱性 |
|---|---|
| 概要 | Nginx UIはNginxウェブサーバーのためのウェブユーザーインターフェースです。バージョン2.3.8より前のnginx-uiでは、プロセスの起動から最初の10分間、新規インストール時に認証なしでアクセス可能なバックアップ復元エンドポイント（POST /api/restore）が存在します。認証されていないリモート攻撃者は、アプリケーションの設定ファイル（app.ini）およびSQLiteデータベースを上書きする細工されたバックアップアーカイブをアップロードできます。攻撃者が復元されたapp.iniを制御できるため、TestConfigCmd設定に任意のOSコマンドを注入可能です。アプリケーションが復元された設定を適用するために自動的に再起動し、その後1回の続行リクエストでそのコマンドがnginx-uiを実行するユーザー、通常はDocker環境ではrootとして実行します。この問題はバージョン2.3.8で修正されています。 |
| 想定される影響 | 当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月4日0:00 |
| 登録日 | 2026年5月8日12:22 |
| 最終更新日 | 2026年5月8日12:22 |
| CVSS3.0 : 緊急 | |
| スコア | 9.8 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月08日] 掲載 |
2026年5月8日12:22 |
| 概要 | Nginx UI is a web user interface for the Nginx web server. Prior to version 2.3.8, nginx-ui exposes a backup restore endpoint (POST /api/restore) that is completely unauthenticated during the first 10 minutes after process startup on any fresh installation. An unauthenticated remote attacker can upload a crafted backup archive that overwrites the application's configuration file (app.ini) and SQLite database. Because the attacker controls the restored app.ini, they can inject an arbitrary OS command into the TestConfigCmd setting. After the application automatically restarts to apply the restored config, a single follow-up request triggers that command as the user running nginx-ui — typically root in Docker deployments. This issue has been patched in version 2.3.8. |
|---|---|
| 公表日 | 2026年5月5日6:16 |
| 登録日 | 2026年5月6日4:07 |
| 最終更新日 | 2026年5月6日23:45 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:nginxui:nginx_ui:*:*:*:*:*:*:*:* | 2.3.8 | ||||