CVE-2026-42945
Açıklama
NGINX Plus ve NGINX Open Source, ngx_http_rewrite_module modülünde bir güvenlik açığına sahiptir. Bu açık; rewrite direktifini bir rewrite, if veya set direktifinin takip etmesi ve soru işareti (?) içeren bir değiştirme dizesine sahip isimsiz bir Perl-Compatible Regular Expression (PCRE) yakalamasının (örneğin, $1, $2) kullanılması durumunda ortaya çıkar. Kimliği doğrulanmamış bir saldırgan, kontrolü dışındaki koşullarla birlikte, özel olarak hazırlanmış HTTP istekleri göndererek bu zafiyeti istismar edebilir. Bu durum, NGINX worker sürecinde yeniden başlatmaya yol açan bir heap buffer overflow oluşmasına neden olabilir. Ek olarak saldırganlar, Address Space Layout Randomization (ASLR) özelliğinin devre dışı olduğu sistemlerde veya ASLR'yi atlatabildikleri durumlarda kod çalıştırabilirler. Not: Teknik Destek Sonu (EoTS) aşamasına gelmiş yazılım sürümleri değerlendirilmemiştir.
Nasıl düzeltilir
- access.redhat.com/errata/RHSA-2026:17790
- access.redhat.com/errata/RHSA-2026:18063
- access.redhat.com/errata/RHSA-2026:19159
- access.redhat.com/errata/RHSA-2026:18041
- access.redhat.com/errata/RHSA-2026:17791
- access.redhat.com/errata/RHSA-2026:17751
- access.redhat.com/errata/RHSA-2026:17792
- access.redhat.com/errata/RHSA-2026:17793
- access.redhat.com/errata/RHSA-2026:17752
- access.redhat.com/errata/RHSA-2026:17794
- access.redhat.com/errata/RHSA-2026:17753
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| f5 nginx_gateway_fabric | 1.3.0 ≤ v ≤ 1.6.2, 2.0.0 ≤ v ≤ 2.5.1 | — |
| f5 dos | 4.3.0 ≤ v ≤ 4.7.0, 4.8.0 | — |
| f5 nginx_ingress_controller | 3.5.0 ≤ v ≤ 3.7.2, 4.0.0 ≤ v ≤ 4.0.1, 5.0.0 ≤ v ≤ 5.4.1 | — |
| f5 nginx_instance_manager | 2.16.0 ≤ v ≤ 2.21.1 | — |
| f5 nginx_open_source | 0.6.27 ≤ v ≤ 1.30.0 | — |
| f5 nginx_plus | r32 ≤ v ≤ r36 | — |
| f5 waf | 4.9.0 ≤ v ≤ 4.16.0, 5.1.0 ≤ v ≤ 5.8.0, 5.9.0 ≤ v ≤ 5.12.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.