Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] F5 opravuje viac ako 50 zraniteľností vo svojich produktoch

F5 Networks opravuje viac ako 50 zraniteľností v rôznych produktoch [1][2][3]. Vybrané zraniteľnosti sú popísané nižšie, zvyšné nájdete na [1]. Najaktuálnejšie opravené verzie jednotlivých produktov: BIG-IP (všetky moduly) [1] - 21.0.0.2, 17.5.1.6, 17.1.3.2 BIG-IQ Centralized Management [1] - 8.4.2 BIG-IP Next SPK [1] - 2.0.3, 1.7.17 BIG-IP Next CNF [1] - 2.0.3, 1.4.1 BIG-IP Next for Kubernetes [1] - 2.2.0 NGINX Plus [2] - 37.0.1.1, R36 P5, R32 P7 NGINX Open Source [2] - 1.31.1, 1.30.2 NGINX Gateway Fabric [2] - 2.6.2 NGINX Ingress Controller [2] - 5.4.3 F5 WAF for NGINX [1] - 5.13.0 F5 DoS for NGINX [1] - 4.9.0 NGINX JavaScript (njs) [3] - 0.9.9

NGINX (CVE-2026-9256) - DoS, RCE
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je kvôli chybnému spracovaniu regulárnych výrazov v module ngx_http_rewrite_module NGINX Plus a Open Source za určitých podmienok zasielaním špeciálne vytvorených HTTP požiadaviek umožnené vykonať útok DoS na systém NGINX. Ak je v systéme zakázané Address Space Layout Randomization (ASLR) alebo ak útočník dokáže ASLR prekonať, je mu potenciálne umožnené spustiť kód [2].

Zraniteľnosť sa nachádza v produktoch:

  • NGINX Plus; >=37.0.0, <37.0.1.1;
  • NGINX Plus; >=R32, <R32 P7; >=R36, <R36 P5;
  • NGINX Open Source; >=0.1.17, <=0.9.7; >=1.0.0, <1.30.2; >=1.31.0, <1.31.1;
  • NGINX Instance Manager; >=2.16.0, <=2.22.0;
  • F5 WAF for NGINX; >=5.9.0, <=5.13.0;
  • NGINX App Protect WAF; >=4.10.0, <=4.16.0; >=5.2.0, <=5.8.0;
  • NGINX Gateway Fabric; >=1.3.0, <=1.6.2; >=2.0.0, <=2.6.1;
  • NGINX Ingress Controller; >=3.5.0, <=3.7.2; >=4.0.0, <=4.0.1; >=5.0.0, <=5.4.2;
  • F5 DoS for NGINX; ==4.9.0;
  • NGINX App Protect DoS; >=4.3.0, <=4.7.0;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 22. 5. 2026.

NGINX JavaScript (CVE-2026-8711) - DoS, RCE
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je v module ngx_http_js_module (NGINX JavaScript) za určitých podmienok zasielaním špeciálne vytvorených HTTP požiadaviek umožnené vykonať útok DoS na systém NGINX. Zraniteľnosť je zneužiteľná, ak js_fetch_proxy využíva aspoň jednu premennú plne kontrolovanú klientom (napr. HTTP hlavičky či argumenty) a v rámci toho istého bloku (/location) dochádza k spusteniu JavaScriptovej operácie ngx.fetch(). Ak je v systéme zakázané Address Space Layout Randomization (ASLR) alebo ak útočník dokáže ASLR prekonať, je mu potenciálne umožnené spustiť kód [3].

Zraniteľnosť sa nachádza v produkte:

  • NGINX JavaScript; >=0.9.4, <=0.9.8;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 19. 5. 2026.

BIG-IP & BIG-IQ Centralized Management (CVE-2026-41957) - spúšťanie príkazov, neoprávnené operácie
CVSS 8.7 (High)

Autentizovanému vzdialenému útočníkovi s prístupom k rozhraniu Configuration utility je v produktoch BIG-IP a BIG-IQ za určitých podmienok umožnené spustiť ľubovoľné systémové príkazy, mazať/vytvárať súbory alebo neoprávnene vyraďovať služby z prevádzky. Vo všeobecnosti sa odporúča obmedziť prístup k administrácii Configuration utility iba pre dôveryhodné zariadenia a siete [4].

Zraniteľnosť sa nachádza v produktoch:

  • BIG-IP; >=16.1.0, <=16.1.6; >=17.1.0, <17.1.3.1; >=17.5.0, <17.5.1.4;
  • BIG-IQ Centralized Management; >=8.4.0, <8.4.1;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 13. 5. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dňa 1. 6. 2026.

CESNET, z.s.p.o. Logo