Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] F5 opravuje 5 zraniteľností v rôznych produktoch

F5 opravuje 5 zraniteľností v rôznych produktoch. Najzávažnejšie z nich sú popísané nižšie, ostatné nájdete na [1]. Opravené verzie jednotlivých produktov: BIG-IP Advanced WAF/ASM [2] - 17.1.3 NGINX Plus [3] - R36 P2, R35 P1, R32 P4 NGINX Open Source [3] - 1.29.5, 1.28.2 NGINX Ingress Controller [3] - 5.3.3 NGINX Gateway Fabric [3] - 2.4.1 BIG-IP Container Ingress Services (Kubernetes a OpenShift) [4] - 2.20.2 (alebo 2.20.1 s Helm vo verzii 0.0.36)

BIG-IP Advanced WAF/ASM - DoS (CVE-2026-22548)
CVSS 8.2 (High)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok kvôli zraniteľnosti typu race condition v BIG-IP Advanced WAF/ASM umožnené reštartovať proces bd a potenciálne vykonať útok DoS na systém [2]. Ak nie je možné aktualizovať na opravenú verziu ihneď, odporúča sa na dočasnú mitigáciu dopadu potenciálneho zneužitia zraniteľnosti konfigurovať systém v režime vysokej dostupnosti (HA) [5][6].

Zraniteľnosť sa nachádza v produktoch:

  • BIG-IP Advanced WAF; >=17.1.0, <=17.1.2;
  • BIG-IP Advanced ASM; >=17.1.0, <=17.1.2;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Viac informácií:

  • CVE-2026-22548 na cve.org, NVD
  • CWE-362: Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 4. 2. 2026.

NGINX Plus, Open Source, Ingress Controller, Gateway Fabric, Instance Manager - injekcia odpovedí (CVE-2026-1642)
CVSS 8.2 (High)

Neautentizovanému vzdialenému útočníkovi v pozícii MITM medzi proxy serverom NGINX (Plus/Open Source) a upstreamovými TLS servermi je za určitých podmienok umožnené vložiť vlastné dáta v plain texte do odpovedí zasielaných klientom [3].

Zraniteľnosť sa nachádza v produktoch:

  • NGINX Plus; >=R32, <=R36 P1;
  • NGINX Open Source; >=1.3.0 <=1.29.4;
  • NGINX Ingress Controller; >=3.4.0, <=3.7.2; >=4.0.0, <=4.0.1; >=5.0.0, <=5.3.2;
  • NGINX Gateway Fabric; >=1.2.0, <=1.6.2; >=2.0.0, <=2.4.0;
  • NGINX Instance Manager; >=2.15.1, <=2.21.0;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 2. 2026.

BIG-IP Container Ingress Services (Kubernetes, OpenShift) - neoprávnené čítanie (CVE-2026-22549)
CVSS 6.9 (Medium)

Autentizovanému vzdialenému útočníkovi s vyššími oprávneniami v BIG-IP Container Ingress Services pre Kubernetes a OpenShift je v rámci klastra umožnené neoprávnene čítať citlivé dáta (secrets) [4].

Zraniteľnosť sa nachádza v produkte:

  • BIG-IP Container Ingress Services; >=1.0.0, <=1.14.0; >=2.0.0, <2.20.2;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 4. 2. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dňa 12. 2. 2026.

CESNET, z.s.p.o. Logo