CVE-2024-42222: nginx-ui Unauthenticated Initial Installation Takeover Vulnerability

バグまとめ：nginx-ui の無認証ブートインスタンス乗っ取り 概要 CVE-2024-42222 脆弱性タイプ：無認証ファーストブートインスタンスクレーム (Unauthenticated first-boot instance claim) 影響を受けるコンポーネント： (Go) 影響を受けるバージョン：2.3.5 脆弱性説明： の初期インストールウィンドウにおいて、 に対して無認証のブート乗っ取り脆弱性があります。インスタンスが初期化されていない場合、このエンドポイントは認証なしでアクセス可能であり、攻撃者が制御するブートデータを受け入れます。ハンドラーはアプリケーションの JWT キー、ノードキー、証明書のメールボックス、および初期管理者ユーザー名とパスワードを設定します。これにより、攻撃者は初期設定の 10 分以内のウィンドウ内でインスタンスを乗っ取ることができます。 攻撃ベクター：ネットワーク (Network) CVSS スコア：8.1 / 10 (High) 影響範囲 影響：初期インストールウィンドウ内にある全新的な インスタンスに対する完全な無権限の乗っ取りが可能になります。 攻撃者の能力： 対象が未初期化であることを確認する。 攻撃者が選択したブート資格情報を送信する。 インストールをロックし、インストールプロセスを制御する。 新しい設定でスーパー管理者として即座に認証する。 深刻度：攻撃者は資格情報を推測するだけでなく、初期管理者アカウントとアプリケーションキーを定義します。 修正策 1. 無権限インストールの削除：10 分という時間窗口をセキュリティ境界として依存せず、リモートからの無権限インストールを削除する。 2. ローカルまたはオフバンドのブートキーの要求：例えば、ワンタイム設定トークンを生成して印刷/ホストに保存するか、または初期化を完了するためにトークンの要求を必要とする。 3. 初期設定をローカルループバックにバインドする：デフォルトで初期設定を localhost にバインドするか、または初回実行時の設定が信頼されたローカルアクセスパスに対してのみ有効であることを明確に制限する。 4. プリインストール前の無権限例外の削除： や のような他の機密設定に近いルートから、プリインストール前の無権限例外を削除する。 5. ディフェンスインデプス：設定エンドポイントで CORS を制限する。 は任意のウェブサイトからのクロスオリジン呼び出しを受けてはならない。 6. 回帰テスト**：無権限のリモート が拒否され、有効なブートキーを持たないインスタンスの乗っ取りが拒否され、 と で認証が必要となり、クロスオリジンインストールがないことを確認する。 POC コード

目標達成すべての支援者に感謝 — 100%達成しました！

CVE-2024-42222: nginx-ui Unauthenticated Initial Installation Takeover Vulnerability

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

CVE-2024-42222: nginx-ui Unauthenticated Initial Installation Takeover Vulnerability

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！