CVE-2026-42533
Təsvir
NGINX Plus və NGINX Open Source versiyalarında, map direktivi reqex uyğunlaşdırmasından istifadə etdikdə və sətir ifadəsi map çıxış dəyişəninə istinad etməzdən əvvəl map-in reqex tutma dəyişənlərinə istinad etdikdə zəiflik mövcuddur. Alternativ olaraq, müəyyən şərtlər daxilində sətir ifadəsində keşlənməyən dəyişəndən istifadə etməklə də eyni nəticə əldə edilə bilər. Autentifikasiya olunmamış hücumçu, özünün nəzarətindən kənar olan şərtlərlə birlikdə, xüsusi hazırlanmış HTTP sorğuları göndərməklə bu zəiflikdən istifadə edə bilər. Bu, NGINX işçi prosesində heap bufer daşmasına səbəb ola və onun yenidən başladılmasına gətirib çıxara bilər. Əlavə olaraq, hücumçular Address Space Layout Randomization (ASLR) funksiyasının söndürüldüyü sistemlərdə və ya ASLR-ı yan keçə bildikləri hallarda kod icra edə bilərlər. Təsir: Bu zəiflik uzaqdakı hücumçuların NGINX sistemində xidmətdən imtina (DoS) halına səbəb olmasına və ya potensial olaraq kodun icrasını tətikləməsinə imkan verə bilər. İdarəetmə müstəvisinin (control plane) ifşası yoxdur; bu, yalnız məlumat müstəvisinə (data plane) aid problemdir. Qeyd: Texniki Dəstəyin Sonu (EoTS) mərhələsinə çatmış proqram təminatı versiyaları qiymətləndirilməmişdir.
Necə düzəltmək olar
- f5 nginx_gateway_fabric2.6.7 və ya daha yeni versiya
- f5 nginx_ingress_controller5.5.3, 2026-lts-r4 və ya daha yeni versiya
- f5 nginx_plus37.0.3.1, r36 və ya daha yeni versiya
- f5 waf5.13.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| f5 nginx_gateway_fabric | 1.3.0 ≤ v ≤ 1.6.2, 2.0.0 ≤ v < 2.6.7 | 2.6.7 |
| f5 nginx_ingress_controller | 3.5.0 ≤ v ≤ 3.7.2, 5.0.0 ≤ v < 5.5.3, 2026-lts-r1 ≤ v < 2026-lts-r4, 4.0.0, 4.0.1 | 5.5.3, 2026-lts-r4 |
| f5 nginx_plus | 37.0.0.1 ≤ v < 37.0.3.1, r33 ≤ v < r36, r36 | 37.0.3.1, r36 |
| f5 waf | 4.11.0 ≤ v ≤ 4.16.0, 5.2.0 ≤ v ≤ 5.8.0, 5.9.0 ≤ v < 5.13.4 | 5.13.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.