CVE-2026-61630
ŚrednieCVSS 4.2Streszczenie
nginx ignition (UI dla serwera nginx) w wersjach 2.33.0 do 2.35.0 ma podatność, która pozwala użytkownikowi z włączonym OTP 2FA na ponowne użycie swojego TOTP w ciągu standardowego 30-sekundowego okna ważności. Wersja 2.35.1 naprawia ten problem.
Ocena ryzyka
Możliwość powtórnego użycia kodu TOTP może umożliwić atakującemu zalogowanie się przy użyciu przechwyconego kodu w krótkim oknie czasowym, co osłabia bezpieczeństwo 2FA.
Rekomendacja
Zaktualizuj nginx ignition do wersji 2.35.1 lub nowszej.
Inne podatności w nginx ignition
Zobacz wszystkie- CVE-2026-61629Wysokie
W nginx ignition w wersjach od 2.29.0 do 2.40.0 middleware gin i18n w serwerze API działa przed każdym żądaniem HTTP i wywołuje golang.org/x/text/language.ParseAcceptLanguage na surowym nagłówku Accept-Language bez żadnego filtra rozmiaru lub kształtu. Parser ten ma kwadratową złożoność czasową dla długich list zniekształconych tagów językowych; zabezpieczenie CVE-2022-32149 ogranicza liczbę znaków '-' do 1000, ale nie ogranicza znaków '_', mimo że wewnętrzny skaner parsera traktuje '_' jak '-'. Pojedyncze nieuwierzytelnione żądanie GET z nagłówkiem Accept-Language zbudowanym z separatorów '_' zużywa około 2,4 sekundy CPU serwera.
- CVE-2026-61628Wysokie
W nginx ignition przed wersją 2.41.1 punkt końcowy POST /api/users/onboarding/finish jest zarejestrowany jako anonimowy (nieuwierzytelniony) i tworzy użytkownika z pełnymi uprawnieniami administratora ReadWrite. Ponieważ procedura obsługi używa wzorca check-then-act (TOCTOU) między sprawdzeniem „czy onboarding już zakończony?” a zapisem tworzenia użytkownika, bez atomowego zabezpieczenia, zdalny nieuwierzytelniony atakujący mogący dotrzeć do instancji w stanie przed onboardingiem może utworzyć dla siebie konto administratora, a równoczesne żądania mogą utworzyć wiele kont administratora w jednym wyścigu.
Oryginalny opis (angielski, źródło NVD)
nginx ignition is a user interface for the nginx web server. In versions 2.33.0 through 2.35.0, any user that has enabled the OTP 2FA can have their TOTP reused during the standard 30 second validity window. Version 2.35.1 patches the issue.