Spätná väzba k reportu

Vzdialenému neautentizovanému útočníkovi je v rámci špecifického reťazenia direktív rewrite a set s využitím nepomenovaného PCRE zachytávania a otáznika umožnené vyvolať pretečenie pamäte na halde, čo vedie k reštartu pracovného procesu a pri systémoch s vypnutou ochranou ASLR alebo po jej prelomení hrubou silou aj k RCE.[5], [6].

Zraniteľnosť sa nachádza v produktoch:

• NGINX Open Source; >=1.0.0, <=1.30.0; >=0.6.27, <=0.9.7;
• NGINX Instance Manager; >=2.16.0, <=2.21.1;
• F5 WAF for NGINX; >=5.9.0, <=5.12.1;
• NGINX App Protect WAF; >=5.1.0, <=5.8.0; >=4.9.0, <=4.16.0;
• F5 DoS for NGINX; =4.8.0;
• NGINX App Protect DoS; >=4.3.0, <=4.7.0;
• NGINX Gateway Fabric; >=2.0.0, <=2.5.1; >=1.3.0, <=1.6.2;
• NGINX Ingress Controller; >=5.0.0, <=5.4.1; >=4.0.0, <=4.0.1; >=3.5.0, <=3.7.2;

CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2026-42945 na cve.org, NVD
• CWE-122: Heap-based Buffer Overflow na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 5. 2026.

Vzdialenému neautentizovanému útočníkovi so schopnosťou útoku MitM a kontrolou nad odpoveďami z upstream servera je pri konfigurácii direktív scgi_pass alebo uwsgi_pass umožnené zneužiť zraniteľnosť spočívajúcu v nadmernej alokácii pamäte alebo čítaní dát mimo vyhradeného rozsahu, čo mu umožňuje čítať pamäť pracovného procesu NGINX alebo vynútiť jeho reštart. [7].

Zraniteľnosť sa nachádza v produktoch:

• NGINX Open Source; >=1.0.0, <=1.30.0; >=0.8.42, <=0.9.7;
• NGINX Instance Manager; >=2.16.0, <=2.21.1;
• F5 WAF for NGINX; >=5.9.0, <=5.12.1;
• NGINX App Protect WAF; >=5.1.0, <=5.8.0; >=4.9.0, <=4.16.0;
• NGINX Gateway Fabric; >=2.0.0, <=2.6.0; >=1.3.0, <=1.6.2;
• NGINX Ingress Controller; >=5.0.0, <=5.4.2; >=4.0.0, <=4.0.1; >=3.5.0, <=3.7.2;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2026-42946 na cve.org, NVD
• CWE-823: Use of Out-of-range Pointer Offset na cwe.mitre.org
• CWE-789: Memory Allocation with Excessive Size Value na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 5. 2026.

Vzdialenému neautentizovanému útočníkovi je pri nastavení direktívy ssl_verify_client na „on“ alebo „optional“ v kombinácii s aktívnou direktívou ssl_ocsp alebo nakonfigurovaným resolverom umožnené zneužiť zraniteľnosť spočívajúcu v neoprávnenom prístupe k už uvoľnenej pamäti na halde počas OCSP overovania, čo môže viesť k reštartu pracovného procesu NGINX alebo k obmedzenej modifikácii dát [8].

Zraniteľnosť sa nachádza v produktoch:

• NGINX Open Source; >=1.19.0, <=1.30.0;
• NGINX Instance Manager; >=2.16.0, <=2.21.1;
• F5 WAF for NGINX; >=5.9.0, <=5.12.1;
• NGINX App Protect WAF; >=5.1.0, <=5.8.0; >=4.9.0, <=4.16.0;
• NGINX Gateway Fabric; >=2.0.0, <=2.5.1; >=1.3.0, <=1.6.2;
• NGINX Ingress Controller; >=5.0.0, <=5.4.1; >=4.0.0, <=4.0.1; >=3.5.0, <=3.7.2;

CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:L/SC:N/SI:N/SA:N

Viac informácií:

• CVE-2026-40701 na cve.org, NVD
• CWE-416: Use After Free na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 13. 5. 2026.