CVE-2026-33032 / MCPwn

Herramienta de detección no destructiva para la omisión de autenticación MCP de nginx-ui conocida públicamente como MCPwn. Permite la toma de control no autenticada de cualquier instancia de nginx-ui que ejecute una versión vulnerable mediante dos peticiones HTTP.

Tabla de Contenidos

1. Datos Rápidos
2. Resumen de la Vulnerabilidad
3. Análisis Técnico Detallado
4. Estrategia de Detección
5. Instalación
6. Uso
7. Ejemplo de Salida
8. Encadenar con CVE-2026-27944
9. Remediación
10. Uso Responsable
11. Referencias
12. Licencia

Datos Rápidos

Resumen de la Vulnerabilidad

nginx-ui expone una interfaz de Protocolo de Contexto de Modelo (MCP) que permite a un operador autenticado ejecutar herramientas destructivas como ediciones de configuración de nginx, comandos de reinicio y operaciones de copia de seguridad a través de JSON-RPC.

El endpoint /mcp está protegido por el middleware AuthRequired(), mientras que su endpoint asociado /mcp_message, que realmente recibe las invocaciones de herramientas, fue desplegado sin el middleware. Cualquier cliente que pueda alcanzar la interfaz web a través de la red puede:

1. Abrir un flujo de Eventos Enviados por el Servidor (SSE) hacia /mcp y recibir un sessionID nuevo sin presentar ninguna credencial.
2. Usar ese sessionID para invocar cualquier herramienta MCP registrada enviando un POST a /mcp_message, aún sin autenticación.

El atacante obtiene control total del proceso de nginx: editar bloques de servidor para redirigir tráfico, extraer claves privadas TLS mediante lecturas de rutas, recargar o detener nginx, e implantar puertas traseras persistentes.

Análisis Técnico Detallado

Causa raíz a nivel de código

// vulnerable (pre-2.3.4)
r.GET("/mcp",          AuthRequired(), mcpHandler)
r.POST("/mcp_message", mcpMessageHandler)    // middleware ausente

// corregido en 2.3.4
r.GET("/mcp",          AuthRequired(), mcpHandler)
r.POST("/mcp_message", AuthRequired(), mcpMessageHandler)

Una única llamada a función ausente en el registro de rutas fue suficiente para convertir la interfaz MCP en una puerta de entrada de RCE no autenticada.

Esquema del ataque de extremo a extremo

  Atacante                              nginx-ui (<2.3.4)
     |   1) GET /mcp  (sin autenticación)      |
     | -------------------------------------->  |
     |   2) event: endpoint data: /mcp_message?sessionID=XYZ
     | <--------------------------------------  |
     |   3) POST /mcp_message?sessionID=XYZ     |
     |      body: JSON-RPC call_tool "nginx_reload" o
     |             "edit_config {...}"          |
     | -------------------------------------->  |
     |   4) 200 OK; herramienta ejecutada con privilegios completos
     | <--------------------------------------  |

Matriz de impacto

Estrategia de Detección

Este repositorio evita intencionalmente cualquier acción destructiva. El detector solo utiliza métodos MCP de solo lectura (tools/list). La lógica:

> Paso 1  Identificar nginx-ui mediante
>         GET /               (título HTML, paquetes JS)
>         GET /api/settings   (JSON que referencia claves de nginx-ui)
>         Extraer versión mediante regex en cabecera / cuerpo
> Paso 2  Abrir flujo SSE hacia /mcp
>         Analizar el primer sessionID del evento "endpoint"
> Paso 3  POST /mcp_message?sessionID=<id>
>         Body: {"jsonrpc":"2.0","method":"tools/list","params":{}}
>         Sin cabecera Authorization
> Paso 4  Vulnerable si estado 200 y el cuerpo contiene un manifiesto de herramientas
>         Parcheado si estado 401 / 403 / 404
>         No concluyente en cualquier otro caso

Por qué esto es seguro

El método JSON-RPC tools/list es de solo lectura. Enumera qué herramientas conoce el servidor MCP pero no invoca ninguna de ellas. El script se niega a enviar POST con cualquier otro método y nunca construye cargas útiles para herramientas destructivas.

Instalación

git clone https://github.com/your-org/CVE-2026-33032-detector.git
cd CVE-2026-33032-detector
python3 --version      # 3.9 o superior
# No se requieren paquetes de terceros.

Para el componente Nmap NSE, copie nginx-ui-mcpwn.nse en su directorio local de scripts y actualice la base de datos de scripts:

cp nginx-ui-mcpwn.nse /usr/share/nmap/scripts/
sudo nmap --script-updatedb

Uso

Detector Python

# Objetivo único
python3 detect_nginx_ui_mcpwn.py --target https://nginx-ui.internal

# Escaneo masivo desde archivo
python3 detect_nginx_ui_mcpwn.py --targets targets.txt --workers 20

# Salida JSON (NDJSON) adecuada para canalizar a jq
python3 detect_nginx_ui_mcpwn.py --target 10.0.0.5:9000 --json | jq .

Referencia de línea de comandos:

Nmap NSE

nmap -p 80,443,9000 --script nginx-ui-mcpwn 10.0.0.0/24
nmap -p 443 --script nginx-ui-mcpwn --script-args "nginx-ui-mcpwn.timeout=8" host.example.com

Ejemplo de Salida

Legible para humanos

 _   _       _                  _    _  ___   __  __  ____ ____
| \ | | __ _(_)_ __ __  __     | |  | ||_ _| |  \/  |/ ___|  _ \__      ___ __
|  \| |/ _` | | '_ \\ \/ /_____| |  | | | |  | |\/| | |   | |_) \ \ /\ / / '_ \
| |\  | (_| | | | | |>  <|_____| |__| | | |  | |  | | |___|  __/ \ V  V /| | | |
|_| \_|\__, |_|_| |_/_/\_\     |_____|_||___| |_|  |_|\____|_|     \_/\_/ |_| |_|
       |___/

  CVE-2026-33032 Detector MCPwn de nginx-ui > no destructivo

[!] VULNERABLE https://nginx-ui.internal version=2.3.2 evidencia=estado=200; vista_previa_cuerpo={"jsonrpc":"2.0","id":"...","result":{"tools":[{"name":"edit_config",...
[+] parcheado https://nginx-ui-patched:9000 version=2.3.4 evidencia=estado=401; vista_previa_cuerpo={"error":"unauthorized"}
[.] no es nginx-ui https://example.com evidencia=huella negativa

Resumen: 1/3 objetivos marcados como vulnerables

NDJSON

{"target":"https://nginx-ui.internal","reachable":true,"is_nginx_ui":true,"mcp_endpoint_present":true,"session_id_obtained":true,"mcp_message_unauthenticated":true,"vulnerable":true,"nginx_ui_version":"2.3.2","evidence":"status=200; body_preview=...","error":null}

Nmap

PORT     STATE SERVICE
9000/tcp open  http
| nginx-ui-mcpwn:
|   status: VULNERABLE
|   version: 2.3.2
|   session_id: abc123
|_  evidence: tools/list aceptado sin credenciales

Encadenar con CVE-2026-27944

CVE-2026-27944 (la descarga no autenticada de /api/backup que filtra la clave AES en la cabecera X-Backup-Security) se encadena limpiamente con MCPwn: el archivo de copia de seguridad expone el node_secret, que puede usarse para autenticarse en /mcp incluso después de que se aplique el parche para 33032, hasta que los operadores roten el secreto.

El detector complementario para 27944 reside en un directorio hermano de este proyecto de investigación.

Remediación

1. Actualice nginx-ui a 2.3.4 o posterior.
2. Rote node_secret, los hashes de contraseñas de administrador y cualquier clave privada TLS que fuera accesible para el proceso de nginx-ui.
3. Restrinja la exposición de nginx-ui a una VLAN de gestión, VPN o proxy inverso que aplique autenticación antes de que la ruta /mcp_message sea alcanzable.
4. Revise el historial de configuración de nginx (Git o copias de seguridad) para detectar directivas inesperadas de upstream / proxy_pass / ssl_certificate introducidas durante la ventana de exposición.

Uso Responsable

Esta herramienta se publica para ayudar a los defensores a identificar instancias sin parchear dentro de entornos que están autorizados a probar. No la utilice contra sistemas que no posea o para los que no tenga permiso explícito de evaluación. Los autores declinan toda responsabilidad por el uso indebido.

Referencias

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-33032
• Picus Security (informe MCPwn): https://www.picussecurity.com/resource/blog/cve-2026-33032-mcpwn-how-a-missing-middleware-call-in-nginx-ui-hands-attackers-full-web-server-takeover
• Security Affairs: https://securityaffairs.com/190841/hacking/cve-2026-33032-severe-nginx-ui-bug-grants-unauthenticated-server-access.html
• BleepingComputer: https://www.bleepingcomputer.com/news/security/critical-nginx-ui-auth-bypass-flaw-now-actively-exploited-in-the-wild/
• Proyecto upstream: https://github.com/0xjacky/nginx-ui

Licencia

Publicado bajo la Licencia MIT. Consulte las cabeceras individuales de cada script para los avisos por archivo.