Kritické zraniteľnosti NGINX umožňujú spôsobiť nedostupnosť služby

Spoločnosť F5 opravila 3 kritické zraniteľnosti v NGINX Plus a NGINX Open Source, ktorých zneužitím môže vzdialený neautentifikovaný útočník prostredníctvom špeciálne upravených HTTP požiadaviek spôsobiť nedostupnosť služby (DoS) a pri vypnutej ochrane ASLR alebo jej úspešnom obídení môže získať schopnosť vykonávať kód.

Zraniteľné systémy:

  • NGINX Plus 37.0.0 – 37.0.4, R33 – R36
  • NGINX Open Source 0.1.29 – 0.9.9, 1.30.0 – 1.30.5, 1.31.0 – 1.31.6
  • NGINX Instance Manager 2.18.0 – 2.23.0
  • F5 WAF for NGINX 5.9.0 – 5.14.1, 5.15.0
  • NGINX App Protect WAF 4.12.0 – 4.16.0, 5.4.0 – 5.8.0
  • F5 DoS for NGINX 4.8.0 – 4.10.0
  • NGINX App Protect DoS 4.5.0 – 4.7.0
  • NGINX Gateway Fabric 1.5.0 – 1.6.2, 2.1.0 – 2.7.2
  • NGINX Ingress Controller 3.7.1 – 3.7.2, 4.0.0 – 4.0.1, 5.0.0 – 5.6.3, 2026-lts-r3 – 2026-lts-r8

Opis činnosti:

CVE-2026-93479 (CVSS skóre 9,2)

Kritická zraniteľnosť v NGINX Plus, NGINX Open Source, ktorú môže vzdialený neautentifikovaný útočník zneužiť prostredníctvom špeciálne upravených HTTP požiadaviek. Tým spôsobí pretečenie medzipamäte haldy vo worker procese, čo spôsobí reštart systému a nedostupnosť služby (DoS). Vypnutím ochrany pamäte ASLR alebo jej úspešným obídením môže útočník získať tiež schopnosť vykonávať kód.

Chyba zabezpečenia vzniká, keď direktíva map používa porovnávanie pomocou regulárnych výrazov a direktíva root, alebo formát prístupových logov sa odkazuje na premenné zachytené regulárnym výrazom direktívy map skôr, ako sa odkazuje na výstupnú premennú map. Za určitých podmienok je možné zraniteľnosť zneužiť tiež použitím premennej, ktorú nie je možné ukladať do vyrovnávacej pamäte, v reťazci.

CVE-2026-97205 (CVSS skóre 9,2)

Kritická zraniteľnosť v module ngx_http_core_module v NGINX Plus, NGINX Open Source, ktorá súvisí s možnosťou použitia dealokovaného miesta v pamäti v NGINX worker procese. Vzniká pri povolenom asynchronous file I/O, keď systém spracúva stránku Server Side Includes (SSI) obsahujúcu príkazy include virtual. Vzdialený neautentifikovaný útočník jej zneužitím spôsobí poškodenie pamäte alebo ukončenie worker procesu, čo spôsobí nedostupnosť služby (DoS). Vypnutím ochrany pamäte ASLR alebo jej úspešným obídením môže útočník získať tiež schopnosť vykonávať kód.

CVE-2026-15176 (CVSS skóre 9,2)

Kritická zraniteľnosť v module ngx_http_core_module v NGINX Plus, NGINX Open Source, ktorú môže vzdialený neautentifikovaný útočník zneužiť prostredníctvom špeciálne upravených HTTP požiadaviek. Tým spôsobí pretečenie medzipamäte haldy vo worker procese, čo spôsobí reštart systému a nedostupnosť služby (DoS). Vypnutím ochrany pamäte ASLR alebo jej úspešným obídením môže útočník získať tiež schopnosť vykonávať kód.

Chyba zabezpečenia vzniká, keď je nakonfigurovaná lokalita používajúca direktívu alias spolu s rewrite a direktívu set alebo return odkazujúcu na premennú $request_filename. Zraniteľnosť tiež vniká, keď sa premennú $request_filename používa direktíva log_format.

Možné škody:

  • Nedostupnosť služby (DoS)
  • Vzdialené vykonávanie kódu

Odporúčania:

Bezodkladná aktualizácia aspoň na verziu:

  • NGINX Plus 37.0.5.1 alebo 37.1.0.1
  • NGINX Open Source 1.30.6 alebo 1.31.7
  • NGINX Instance Manager 2.24.0
  • F5 WAF for NGINX 5.14.2 alebo 5.16.0
  • F5 DoS for NGINX 4.11.0
  • NGINX Gateway Fabric 2.8.0
  • NGINX Ingress Controller 5.7.0

Zraniteľnosť CVE-2026-93479 možno mitigovať nepoužívaním nepomenovaných zachytávacích skupín. Pomenované skupiny obmedzte na blok s regulárnym výrazom.

Chybu zabezpečenia CVE-2026-97205 môžete mitigovať podľa návodu na stránke výrobcu v časti „Mitigation“.

Zraniteľnosť CVE-2026-15176 je možné mitigovať zamedzením používania direktívy alias v  bloku lokality a premennej $request_filename.

Odkazy: