CVE-2026-90439
Təsvir
NGINX Plus və NGINX Open Source versiyalarının ngx_http_v3_module modulunda zəiflik mövcuddur. Müəyyən konfiqurasiyalarda OpenSSL <= OpenSSL 3.5.0 versiyaları ilə HTTP/3 istifadə edildikdə, TLS əl sıxma (handshake) prosesi zamanı məhdud heap bufer daşması baş verə bilər. Bu, hücumçunun nəzarətindən kənar, qeyri-deterministik şəkildə baş verir. Bu, NGINX işçi prosesində heap bufer daşmasına səbəb ola bilər ki, bu da prosesin yenidən başladılmasına və/və ya məhdud məlumat korlanmasına gətirib çıxara bilər. Təsir: Bu zəiflik uzaqdakı hücumçulara NGINX sistemində xidmətdən imtina (DoS) vəziyyəti yaratmağa və ya məhdud məlumat korlanmasına səbəb olmağa imkan verə bilər. İdarəetmə müstəvisinin (control plane) ifşası yoxdur; bu, yalnız məlumat müstəvisinə (data plane) aid problemdir. Qeyd: Texniki dəstəyin sonu (EoTS) tarixinə çatmış proqram təminatı versiyaları qiymətləndirilməmişdir.
Necə düzəltmək olar
- F5 NGINX Plus37.1.1.2, 37.0.6.2 və ya daha yeni versiya
- F5 NGINX Open Source1.31.6, 1.30.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| F5 NGINX Plus | 37.1.0.1 ≤ v < 37.1.1.2, 37.0.0.1 ≤ v < 37.0.6.2 | 37.1.1.2, 37.0.6.2 |
| F5 NGINX Open Source | 1.29.2 ≤ v < 1.31.6, 1.30.4 ≤ v < 1.30.5 | 1.31.6, 1.30.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.