Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] F5 NGINX opravuje 6 zraniteľností

F5 opravuje 6 zraniteľností v produktoch NGINX [1][2][3][4][5][6]. Najzávažnejšie z nich nájdete nižšie, zvyšné na [3][4][5][6]. Aktuálne opravené verzie jednotlivých produktov: NGINX Open Source [1] - 1.31.2, 1.30.3 NGINX Plus [1][2][6] - 37.0.2.1, R36 P6 NGINX Gateway Fabric [1][2][3][4][5][6] - 2.6.4

F5 NGINX - DoS, RCE (CVE-2026-42530)
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok pomocou špeciálne upravenej HTTP/3 relácie umožnené vykonať útok DoS na NGINX a potenciálne aj spustiť kód. Zraniteľnosť sa týka iba inštancií s nasadeným protokolom HTTP/3 (QUIC) [1].

Zraniteľnosť sa nachádza v produktoch:

  • NGINX Open Source; >=1.31.0, <1.31.2;
  • NGINX Instance Manager; >=2.17.0, <2.22.1;
  • NGINX Gateway Fabric; >=1.3.0, <=1.6.2; >=2.0.0, <2.6.4;
  • NGINX Ingress Controller; >=3.5.0, <=3.7.2; >=4.0.0, <=4.0.1; >=5.0.0, <5.5.1;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 17. 6. 2026.

F5 NGINX - DoS, RCE (CVE-2026-42055)
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok zasielaním extrémne veľkých hlavičiek umožnené vykonať útok DoS na NGINX a potenciálne aj spustiť kód. Zraniteľnosť je možné zneužiť na špecificky nakonfigurovaných systémoch, kde je v bloku location nastavená direktíva proxy_http_version 2 alebo grpc_pass, je vypnutá kontrola hlavičiek pomocou ignore_invalid_headers off a zároveň je limit large_client_header_buffers navýšený na viac ako 2 MB. Ak nie je možná okamžitá aktualizácia na opravenú verziu, je možné riziko dočasne mitigovať zmenou tejto konfigurácie, pozri [2].

Zraniteľnosť sa nachádza v produktoch:

  • NGINX Open Source; >=1.30.0, <1.30.3; >=1.31.1, <1.31.2;
  • NGINX Instance Manager; >=2.17.0, <2.22.1;
  • NGINX Gateway Fabric; >=1.3.0, <=1.6.2; >=2.0.0, <2.6.4;
  • NGINX Ingress Controller; >=3.5.0, <=3.7.2; >=4.0.0, <=4.0.1; >=5.0.0, <5.5.1;
  • NGINX Plus; >=37.0.0, <37.0.2.1;
  • F5 WAF for NGINX; >=5.9.0, <=5.13.1;
  • NGINX App Protect WAF; >=4.10.0, <=4.16.0; >=5.2.0, <=5.8.0;
  • F5 DoS for NGINX; ==4.9.0;
  • NGINX App Protect DoS; >=4.3.0, <=4.7.0;

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 17. 6. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dňa 2. 7. 2026.

CESNET, z.s.p.o. Logo