Die Heap-Buffer-Overflow-Schwachstelle in ngx_http_rewrite_module stellt eine ernsthafte Bedrohung für NGINX-Deployments dar. Sicherheitsforscher Kevin Beaumont betont jedoch, dass die erfolgreiche Ausnutzung spezifische Voraussetzungen erfüllen muss: Ein attraktives Ziel für Angreifer ist zunächst die Kenntnis oder Entdeckung der exakten NGINX-Konfiguration des Zielservers notwendig.
Zum Remote-Code-Execution (RCE) kommt ein weiteres Hindernis hinzu – die Address Space Layout Randomization (ASLR) muss deaktiviert sein, eine Schutzmaßnahme gegen speicherbasierte Angriffe, die standardmäßig auf modernen Linux-Systemen aktiv ist. Die Maintainer von AlmaLinux bewerten die Situation differenziert: Zwar sei es nicht trivial, den Heap-Overflow in zuverlässigen Code-Execution umzuwandeln, besonders auf Systemen mit aktivierter ASLR, aber “nicht trivial” bedeute nicht “unmöglich”. Sie empfehlen dennoch, die Schwachstelle als dringend zu behandeln, da bereits Denial-of-Service-Angriffe durch Worker-Crashes realistische Bedrohungen darstellen.
Die Exploitierungsaktivitäten deuten auf organisierte Angreifer hin. VulnCheck-Forscher beobachteten Angriffe von einer chinesischen IP-Adresse, die ein angepasstes Implementierung des KI-Vulnerability-Discovery-Tools Vulnhuntr zu verwenden scheint. Diese automatisierte Methode scannt systematisch nach anfälligen NGINX-Installationen, um anschließend PHP-Web-Shells einzuschleusen.
F5, der Maintainer von NGINX, hat bereits Patches bereitgestellt. Deutsche Administratoren sollten umgehend ihre NGINX-Installationen überprüfen und aktualisieren. Die DSGVO-Relevanz ist offensichtlich: Ein erfolgreicher Exploit könnte zu Datenzugriffen und somit zu Meldepflichten gegenüber dem Bundesbeauftragten für Datenschutz und Informationsfreiheit (BfDI) führen, mit möglichen Bußgeldern bis 4% des Jahresumsatzes.
Das BSI sollte baldige Empfehlungen herausgeben. Unternehmen, die kritische Dienste auf NGINX betreiben, sollten eine Notfall-Patch-Strategie einleiten und verstärkte Überwachung von Web-Traffic aktivieren.