安全通告
nginxWebUI 遠(yuǎn)程命令執(zhí)行漏洞預(yù)警通告
發(fā)布日期：2023-08-23
?
漏洞描述
2023年08月23日公司監(jiān)測(cè)到nginxWebUI 遠(yuǎn)程命令執(zhí)行漏洞情報(bào)。nginxWebUI是一款圖形化管理nginx配置的工具, 可以使用網(wǎng)頁(yè)來(lái)快速配置nginx的各項(xiàng)功能, 包括http協(xié)議轉(zhuǎn)發(fā),tcp協(xié)議轉(zhuǎn)發(fā), 反向代理, 負(fù)載均衡, 靜態(tài)html服務(wù)器, ssl證書(shū)自動(dòng)申請(qǐng)、續(xù)簽、配置等, 配置好后可一建生成nginx.conf文件, 同時(shí)可控制nginx使用此文件進(jìn)行啟動(dòng)與重載, 完成對(duì)nginx的圖形化控制閉環(huán)。nginxWebUI由于未對(duì)用戶的輸入進(jìn)行嚴(yán)格過(guò)濾，導(dǎo)致攻擊者可以任意命令執(zhí)行漏洞。建議立即處置。
漏洞編號(hào)
暫無(wú)編號(hào)
漏洞危害
nginxWebUI由于未對(duì)用戶的輸入進(jìn)行嚴(yán)格過(guò)濾，導(dǎo)致攻擊者可以任意命令執(zhí)行漏洞。
漏洞等級(jí)
高危
受影響版本
nginxWebUI <= 3.5.0。
修復(fù)方案
官方已發(fā)布了新版本修復(fù)了權(quán)限繞過(guò)漏洞，并且在一定程度上緩解了遠(yuǎn)程命令執(zhí)行的風(fēng)險(xiǎn)。建議用戶前往官網(wǎng)更新至最新版本。
參考鏈接
https://mp.weixin.qq.com/s/5N89pINE9SmpMFUoVJlgbA