nginx-ui Backup Restore Permite a Adulteração de Backups Encriptados

A vulnerabilidade CVE-2026-33026 no nginx-ui Backup Restore permite que um atacante malicioso manipule backups criptografados gerados pela interface Nginx-UI, hospedada em github.com/0xJacky/Nginx-UI. O cenário de ataque envolve um invasor com acesso de leitura e escrita ao sistema onde o nginx-ui está instalado. Este atacante poderia, por exemplo, substituir um backup legítimo por um backup modificado, contendo dados maliciosos ou configurações comprometidas. Ao restaurar este backup adulterado, o administrador do sistema, acreditando estar restaurando uma cópia segura, na verdade introduziria o código malicioso no sistema. Os dados em risco incluem as configurações do Nginx, arquivos de log, e potencialmente outros dados armazenados pelo nginx-ui. O acesso comprometido pode levar à modificação da configuração do servidor web, permitindo a injeção de código malicioso, desvio de tráfego, ou até mesmo o controle total do servidor. O raio de impacto é significativo, pois a restauração de um backup comprometido pode afetar todos os serviços e aplicações dependentes do servidor Nginx.

Organizations using Nginx-UI for managing their Nginx configurations are at risk, particularly those relying on the backup and restore functionality for disaster recovery. Shared hosting environments where multiple users share the same Nginx-UI instance are especially vulnerable, as an attacker could potentially compromise backups belonging to other users.

• go / server:

find /opt/nginx-ui/ -name '*.bak' -type f -print0 | xargs -0 sha256sum

• go / server:

journalctl -u nginx-ui -f | grep "backup_restore"

• generic web: Check the Nginx-UI configuration for any unusual or unexpected settings related to backup locations or encryption keys.

1. 2026-04-02Disclosure

   disclosure

1. Reservado2026-03-17
2. Publicada2026-04-02
3. EPSS atualizado2026-04-07

A correção primária para CVE-2026-33026 é atualizar a instância do nginx-ui para a versão 2.3.4 ou superior. Esta versão inclui as correções necessárias para evitar a manipulação de backups criptografados. Se a atualização imediata não for possível, uma medida paliativa temporária seria desabilitar a funcionalidade de backup e restauração do nginx-ui até que a atualização possa ser aplicada. É crucial verificar a integridade dos backups existentes antes de qualquer restauração, utilizando ferramentas de verificação de hash ou assinaturas digitais, se disponíveis. Após a atualização, é recomendável realizar um teste de restauração em um ambiente de teste para garantir que a nova versão funcione corretamente e que os backups estejam sendo gerados e restaurados de forma segura. A sequência de atualização deve incluir a parada do serviço nginx-ui, a aplicação da atualização, e a reinicialização do serviço.