Se ha revelado una vulnerabilidad crítica de seguridad en el mecanismo de restauración de copias de seguridad de Nginx-UI, identificada como CVE-2026-33026. Esta falla permite a los actores de amenazas manipular archivos de respaldo cifrados e inyectar configuraciones maliciosas durante el proceso de restauración. Con un exploit de prueba de concepto (PoC) público ahora disponible, las implementaciones sin parches corren un riesgo inmediato de compromiso total del sistema.

Se ha revelado una fallo de seguridad crítico en el mecanismo de restauración de copias de seguridad de Nginx-UI, identificado como CVE-2026-33026.

Esta vulnerabilidad permite a los actores maliciosos manipular archivos de respaldo cifrados e inyectar configuraciones maliciosas durante el proceso de restauración.

Con un exploit de prueba de concepto (PoC) público ahora disponible, las implementaciones sin parchear corren un riesgo inmediato de compromiso total del sistema.

Mecánica del exploit por fallo criptográfico y PoC

La causa raíz de esta vulnerabilidad reside en un modelo de confianza circular gravemente defectuoso dentro de la arquitectura de copias de seguridad de la aplicación.

Cuando Nginx-UI genera una copia de seguridad, comprime los archivos en archivos ZIP y los cifra usando AES-256-CBC. Sin embargo, el sistema no mantiene una raíz de confianza segura.

En lugar de proteger los parámetros de cifrado en el servidor, la clave AES y el Vector de Inicialización (IV) se proporcionan directamente al cliente como un token de seguridad de la copia de seguridad.

Además, el archivo de metadatos de integridad, que contiene los hashes SHA-256 de los archivos cifrados, se cifra usando esta misma clave.

Como el atacante posee la clave, puede eludir fácilmente todos los controles de seguridad criptográficos.

Para empeorar la gravedad, el proceso de restauración no aplica una verificación estricta de integridad, permitiendo que las operaciones de restauración continúen incluso cuando las discrepancias en los hashes activan advertencias del sistema.

El investigador de seguridad ‘dapickle’ demostró con éxito cómo esta debilidad arquitectónica puede ser explotada.

El PoC publicado incluye scripts en Python que automatizan la descifrado y reconstrucción de los archivos de respaldo de Nginx-UI.

Un atacante comienza generando una copia de seguridad estándar y extrayendo el token de seguridad de los encabezados HTTP.

Usando un script de descifrado, descomprime el archivo y modifica el archivo de configuración interno (app.ini). Un vector de ataque común implica inyectar un comando malicioso, como StartCmd = bash, en la configuración.

Luego, el atacante utiliza un script de reconstrucción para comprimir los archivos modificados, calcular nuevos hashes que parezcan legítimos, actualizar los metadatos y volver a cifrar todo el paquete usando el token original.

Cuando esta copia de seguridad manipulada se carga en la interfaz de restauración de Nginx-UI, el sistema la acepta sin cuestionamientos y ejecuta la carga útil inyectada.

Impacto y regresión

Esta vulnerabilidad tiene una calificación de gravedad crítica, obteniendo las puntuaciones máximas en el sistema CVSS 4.0 en múltiples métricas de impacto.

La explotación exitosa permite a los atacantes alterar permanentemente las configuraciones de la aplicación, insertar puertas traseras en el enrutamiento de Nginx y lograr la ejecución arbitraria de comandos en la máquina anfitriona.

Es importante destacar que este fallo es una regresión de una vulnerabilidad reportada anteriormente en el aviso de GitHub GHSA-fhh2-gg7w-gwpq.

Aunque un parche anterior abordó el acceso no autorizado a los archivos de respaldo, no resolvió el problema de diseño criptográfico subyacente, dejando el sistema fundamentalmente vulnerable a modificaciones de archivos.

La comunidad de seguridad ha clasificado las debilidades subyacentes bajo múltiples categorías, incluyendo validación incorrecta de valores de verificación de integridad (CWE-354) y fallo en verificar firmas criptográficas (CWE-347) de manera adecuada.

La vulnerabilidad afecta al paquete Nginx-UI basado en Go, específicamente las versiones 2.3.3 y anteriores. Para mitigar esta amenaza crítica, los administradores deben actualizar inmediatamente a la versión parcheada, 2.3.4.

Más allá de aplicar el último parche, se recomienda a los desarrolladores implementar una raíz de integridad de confianza en el servidor. Esto implica firmar los metadatos de la copia de seguridad usando una clave privada en lugar de depender de tokens expuestos al cliente.

Además, los sistemas deben configurarse de manera segura para evitar modelos de confianza circular y abortar estrictamente la operación de restauración si falla alguna verificación de hash.