CVE-2026-56434
Təsvir
NGINX Plus və NGINX Open Source-un ngx_http_ssi_module modulunda zəiflik mövcuddur. Bu zəiflik Server-Side Includes (SSI), proxy_pass və proxy_buffering off direktivləri konfiqurasiya edildikdə yarana bilər. Bu konfiqurasiya ilə yuxarı axın serverindən gələn cavabları idarə etmək qabiliyyətinə malik, autentifikasiyadan keçməmiş, ortada-adam (MITM) hücumunu həyata keçirə bilən hücumçu NGINX işçi prosesində istifadədən sonra azad etmə (use-after-free) yarada bilər. Bu problem yaddaşın məhdud dəyişdirilməsinə və ya NGINX işçi prosesinin yenidən başladılmasına səbəb ola bilər. Təsir: Bu zəiflik uzaqdan hücumçulara yaddaşın məzmununu məhdud şəkildə dəyişdirmək və ya NGINX işçi prosesini yenidən başlatmaq imkanı verə bilər. İdarəetmə müstəvisi (control plane) təsirə məruz qalmır; bu yalnız verilənlər müstəvisi (data plane) problemidir. Qeyd: Texniki Dəstəyin Sonuna (EoTS) çatmış proqram təminatı versiyaları qiymətləndirilmir.
Necə düzəltmək olar
- f5 nginx_gateway_fabric2.6.7 və ya daha yeni versiya
- f5 nginx_ingress_controller5.5.3, 2026-lts-r4 və ya daha yeni versiya
- f5 nginx_plus37.0.3.1, r36 və ya daha yeni versiya
- f5 waf5.13.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| f5 nginx_gateway_fabric | 1.3.0 ≤ v ≤ 1.6.2, 2.0.0 ≤ v < 2.6.7 | 2.6.7 |
| f5 nginx_ingress_controller | 3.5.0 ≤ v ≤ 3.7.2, 5.0.0 ≤ v < 5.5.3, 2026-lts-r1 ≤ v < 2026-lts-r4, 4.0.0, 4.0.1 | 5.5.3, 2026-lts-r4 |
| f5 nginx_plus | 37.0.0.1 ≤ v < 37.0.3.1, r33 ≤ v < r36, r36 | 37.0.3.1, r36 |
| f5 waf | 4.11.0 ≤ v ≤ 4.16.0, 5.2.0 ≤ v ≤ 5.8.0, 5.9.0 ≤ v < 5.13.4 | 5.13.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.