CVE-2026-42530
Açıklama
NGINX Open Source, ngx_http_v3_module modülünde bir güvenlik açığına sahiptir. NGINX Open Source, HTTP/3 QUIC modülünü kullanacak şekilde yapılandırıldığında, kimliği doğrulanmamış uzak bir saldırgan, kontrolü dışındaki koşullarla birlikte, özel olarak hazırlanmış bir HTTP/3 oturumu kullanarak bir QPACK kodlayıcı akışını yeniden açabilir. Bu durum, NGINX worker sürecinde bir Use-after-Free hatasına yol açarak sürecin yeniden başlatılmasına neden olabilir. Ek olarak saldırganlar, Address Space Layout Randomization (ASLR) özelliğinin devre dışı olduğu sistemlerde veya ASLR'yi atlatabildikleri durumlarda kod çalıştırabilirler. Not: Teknik Destek Sonu (EoTS) aşamasına ulaşmış yazılım sürümleri değerlendirilmemiştir.
Nasıl düzeltilir
- f5 nginx_gateway_fabric2.6.4 ya da sonraki bir sürüm
- f5 nginx_ingress_controller5.5.1 ya da sonraki bir sürüm
- f5 nginx_open_source1.31.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| f5 nginx_gateway_fabric | 1.3.0 ≤ v ≤ 1.6.2, 2.0.0 ≤ v < 2.6.4 | 2.6.4 |
| f5 nginx_ingress_controller | 3.5.0 ≤ v ≤ 3.7.2, 5.0.0 ≤ v < 5.5.1, 4.0.0, 4.0.1 | 5.5.1 |
| f5 nginx_instance_manager | 2.17.0 ≤ v ≤ 2.22.0 | — |
| f5 nginx_open_source | 1.31.0 ≤ v < 1.31.2 | 1.31.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.