F5 lansează patch-uri pentru vulnerabilitățile critice ale NGINX

F5 a lansat patch-uri de securitate out-of-band pentru a remedia mai multe vulnerabilități ale serverului web NGINX, inclusiv trei vulnerabilități cu grad de severitate critic care pot permite atacatorilor să execute cod pe sistemele vulnerabile.

Cele trei vulnerabilități critice au fost identificate în modulul ngx_http_v3_module (CVE-2026-15176 și CVE-2026-97205) și în directiva map a NGINX (CVE-2026-93479).

Atacatorii la distanță fără privilegii le pot exploata pentru a lansa atacuri de tip denial-of-service (DoS) sau pentru a obține drepturi de executare a codului pe sistemele NGINX cu configurații non-implicite.

Exploatarea cu succes provoacă o vulnerabilitate de tip heap-based buffer overflow sau use-after-free în procesul de lucru NGINX, ceea ce duce la blocări sau la o repornire. Cu toate acestea, atacatorii ar putea, de asemenea, execute cod pe sisteme cu Address Space Layout Randomization (ASLR) dezactivată sau atunci când atacatorul poate ocoli ASLR.

F5 a lansat patch-uri de securitate pentru mai multe produse software NGINX afectate de aceste două vulnerabilități, inclusiv NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric și NGINX Instance Manager.

Echipele de securitate și administratorii care nu pot instala imediat aceste patch-uri de securitate pot reduce riscul asociat cu CVE-2026-15176 evitând utilizarea directivei alias într-o locație block sau a variabilei $request_filename, iar riscul asociat cu CVE-2026-97205 prin dezactivarea operațiunilor asincrone de I/O pentru fișiere (AIO) sau a funcției Server Side Includes (SSI).

Vulnerabilitatea CVE-2026-93479 poate fi, de asemenea, minimizată utilizând capturi denumite în locul celor fără nume și limitând utilizarea acestora la blocul cu potrivirea regex.

Sursă: https://www.bleepingcomputer.com/news/security/f5-releases-out-of-band-patches-for-critical-nginx-vulnerabilities/