CVE-2023-27224

RCE w NginxProxyManager przez wstrzyknięcie skryptu Lua do konfiguracji

CVSS 9.8v3.1pub. 2023-03-22upd. 2025-02-25

Podatność w NginxProxyManager v.2.9.19 pozwala atakującemu na wykonanie dowolnego kodu poprzez wstrzyknięcie skryptu Lua do pliku konfiguracyjnego. Ze względu na brak wymagań uwierzytelnienia i sieciowy charakter ataku, podatność jest wyjątkowo groźna.

▸ Pokaż oryginał (EN)

An issue found in NginxProxyManager v.2.9.19 allows an attacker to execute arbitrary code via a lua script to the configuration file.

🤖 Analiza AI

Jak działa

Atakujący może dostarczyć spreparowany skrypt Lua, który zostaje wstrzyknięty do pliku konfiguracyjnego aplikacji NginxProxyManager. Jest to forma command injection (CWE-77), w której dane wejściowe nie są odpowiednio walidowane ani sanityzowane przed użyciem w kontekście konfiguracji serwera. Pozwala to na wykonanie dowolnego kodu po stronie serwera bez konieczności posiadania jakichkolwiek uprawnień.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem — wykonać dowolny kod, przejąć poufne dane, zmodyfikować konfigurację lub całkowicie naruszyć dostępność systemu.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Zaleca się jak najszybszą aktualizację do wersji wyższej niż 2.9.19 oraz ograniczenie dostępu do interfejsu administracyjnego NginxProxyManager wyłącznie do zaufanych adresów IP.

Kogo dotyczy

NginxProxyManager w wersji 2.9.19

Uwagi

Szczegółowy opis techniczny podatności wraz z dowodem koncepcji (proof of concept) jest publicznie dostępny w repozytorium GitHub użytkownika LinuxProgramDevelop.