Zpětná vazba k reportu

Neautentizovanému vzdálenému útočníkovi je za určitých podmínek pomocí speciálně upravené HTTP/3 relace umožněno vykonat útok DoS na NGINX a potenciálně i spustit kód. Zranitelnost se týká pouze instancí s nasazeným protokolem HTTP/3 (QUIC) [1].

Zranitelnost se nachází v produktech:

• NGINX Open Source; >=1.31.0, <1.31.2;
• NGINX Instance Manager; >=2.17.0, <2.22.1;
• NGINX Gateway Fabric; >=1.3.0, <=1.6.2; >=2.0.0, <2.6.4;
• NGINX Ingress Controller; >=3.5.0, <=3.7.2; >=4.0.0, <=4.0.1; >=5.0.0, <5.5.1;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

• CVE-2026-42530 na cve.org, NVD
• CWE-416: Use After Free na cwe.mitre.org

Zranitelnost byla veřejně oznámena 17. 6. 2026.

Neautentizovanému vzdálenému útočníkovi je za určitých podmínek zasíláním extrémně velkých hlaviček umožněno vykonat útok DoS na NGINX a potenciálně i spustit kód. Zranitelnost lze zneužít na specificky konfigurovaných systémech, kde je v bloku location nastavena direktiva proxy_http_version 2 nebo grpc_pass, je vypnuta kontrola hlaviček pomocí ignore_invalid_headers off, a zároveň je limit large_client_header_buffers navýšen na více než 2 MB. Není-li možná okamžitá aktualizace na opravenou verzi, lze riziko dočasně mitigovat změnou této konfigurace viz [2].

Zranitelnost se nachází v produktech:

• NGINX Open Source; >=1.30.0, <1.30.3; >=1.31.1, <1.31.2;
• NGINX Instance Manager; >=2.17.0, <2.22.1;
• NGINX Gateway Fabric; >=1.3.0, <=1.6.2; >=2.0.0, <2.6.4;
• NGINX Ingress Controller; >=3.5.0, <=3.7.2; >=4.0.0, <=4.0.1; >=5.0.0, <5.5.1;
• NGINX Plus; >=37.0.0, <37.0.2.1;
• F5 WAF for NGINX; >=5.9.0, <=5.13.1;
• NGINX App Protect WAF; >=4.10.0, <=4.16.0; >=5.2.0, <=5.8.0;
• F5 DoS for NGINX; ==4.9.0;
• NGINX App Protect DoS; >=4.3.0, <=4.7.0;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Více informací:

• CVE-2026-42055 na cve.org, NVD
• CWE-122: Heap-based Buffer Overflow na cwe.mitre.org

Zranitelnost byla veřejně oznámena 17. 6. 2026.