Nginx UI: DNS APIトークンとACME秘密鍵の暗号化されていない保存

CVE-2026-33030 は nginx-UI に影響を与え、特に github.com/0xJacky/nginx-ui で実装されている箇所に影響します。脆弱性は、DNS API トークンと ACME プライベートキーが暗号化されずに保存されている点にあります。つまり、nginx-UI の構成が保存されているファイルシステムにアクセスできる攻撃者は、これらのトークンとキーを取得し、DNS 構成のセキュリティと SSL/TLS 証明書のセキュリティを損なう可能性があります。CVSS スコアが 8.8 であることは、悪用により攻撃者が DNS 構成を制御し、トラフィックを悪意のあるサイトにリダイレクトしたり、基盤となるインフラストラクチャを侵害したりする可能性があることを示しています。既知の修正プログラムがないことは状況を悪化させ、慎重な評価と即時の軽減策が必要です。

Organizations deploying nginx-UI in production environments, particularly those relying on automated DNS management or Let's Encrypt certificates, are at significant risk. Shared hosting environments where multiple users share the same server resources are especially vulnerable, as a compromise of one user's nginx-UI instance could expose the credentials of others.

• linux / server:

find /var/lib/nginx-ui/ -name '*.conf' -print0 | xargs -0 grep -i 'dns_api_token' # Check for unencrypted tokens
find /var/lib/nginx-ui/ -name '*.key' -print0 | xargs -0 grep -i 'acme_private_key' # Check for unencrypted keys

• generic web:

curl -I http://<nginx-ui-host>/config.json # Check for exposed configuration file

1. 2026-04-02Disclosure

   disclosure

1. 予約済み2026-03-17
2. 公開日2026-03-30
3. 更新日2026-03-31
4. EPSS 更新日2026-04-07

CVE-2026-33030 に対する公式な修正プログラムは存在しないため、軽減策は攻撃対象領域を減らし、機密データを保護することに重点を置いています。最も重要なステップは、nginx-UI の構成が保存されているファイルシステムへのアクセスを制限することです。最小権限の原則のような厳格なアクセス制御を実装することが基本です。nginx-UI の構成を直接アクセス可能なファイルシステムの外にある安全で暗号化されたストレージに移動することを強くお勧めします。さらに、システムアクティビティを不正アクセスがないか監視し、より安全な認証情報ストレージを提供する nginx-UI の代替手段を検討してください。オペレーティングシステムおよびその他の依存関係に対するセキュリティパッチを定期的に適用し、構成を監査することも不可欠です。