Bemerkungen zu den NGINX-Schwachstellen in LDAP Referenzimplementierung (April 2022)

[English]Am 9. April 2022 wurde 0-day Exploit, der Schwachstellen in der LPAP NGINX-Implementierung ausnutzt, bekannt. Spontan kam die Frage auf, ob man jetzt reagieren muss, falls man NGINX in seiner Umgebung verwendet. Ein Blog-Leser hat mir die Tage einen Hinweis geschickt, was diesbezüglich zu beachten ist. Hier ein schneller Überblick über diesen Sachverhalt.

nginx ist eine von Igor Sysoev entwickelte Webserver-Software, Reverse Proxy und E-Mail-Proxy, die unter der BSD-Lizenz veröffentlicht wurde. Nginx wird derzeit bei rund 44 % der 10.000 Webseiten mit dem höchsten Traffic verwendet. Malwarebytes hat zum 13. April 2022 diesen Beitrag zu einer 0-day-Schwachstelle veröffentlicht, die am 9. April 2022 bekannt wurde. Die Hackergruppe BlueHornet hatte über einen experimentellen Exploit für NGINX 1.18 getwittert und versprach, die betroffenen Unternehmen zu warnen. Am 10. April 2022 behauptete BlueHornet, über die NGINX-Schwachstelle in die chinesische Niederlassung von UBS Securities eingedrungen zu sein. So ganz im Detail habe ich das Ganze nicht verfolgt – mir kam die Tage lediglich nachfolgender Tweet unter die Augen, der einen 0-day Exploit zum Thema anspricht.

Ein Blog-Leser hat mich dann über Mastodon auf diesen Blog-Beitrag im nginx-Blog vom 11. April 2022 aufmerksam gemacht. Die Sicherheitslücken vom 9. April 2022 beziehen sich auf die LDAP-Referenzimplementierung von NGINX. Das Team hat bei der Analyse festgestellt, dass nur diese Referenzimplementierung betroffen ist. NGINX Open Source und NGINX Plus sind selbst nicht betroffen, und es sind keine Korrekturmaßnahmen erforderlich, wenn die Referenzimplementierung nicht verwendet wird.

Die NGINX LDAP-Referenzimplementierung verwendet das Lightweight Directory Access Protocol (LDAP), um Benutzer von Anwendungen zu authentifizieren, die von NGINX vermittelt werden. Sie wird als Python-Daemon und zugehörige NGINX-Konfiguration auf GitHub veröffentlicht. Im Blog-Beitrag werden der Zweck und die Konfiguration der Referenzimplementierung im Hinblick auf die Schwachstelle ausführlich beschrieben. Also ggf. dort informieren, ob man betroffen ist.