CVE-2026-61629
Açıklama
nginx ignition, nginx web sunucusu için bir kullanıcı arayüzüdür. 2.29.0 ile 2.40.0 arasındaki sürümlerde, nginx-ignition'ın API sunucusundaki gin i18n ara yazılımı her HTTP isteğinin önünde çalışır ve herhangi bir boyut veya biçim filtresi uygulamadan ham `Accept-Language` başlığı üzerinde `golang.org/x/text/language.ParseAcceptLanguage` fonksiyonunu çağırır. Alttaki ayrıştırıcı, hatalı biçimlendirilmiş uzun dil etiketi listelerinde kuadratik zaman karmaşıklığına sahip davranış sergiler. golang.org/x/text tarafından v0.3.8 sürümünde eklenen CVE-2022-32149 koruması, girdideki `-` karakterlerinin sayısını 1000 ile sınırlandırır ancak ayrıştırıcının dahili tarayıcısı ayıklama öncesinde `_` karakterini `-` olarak eşleştirmesine rağmen `_` karakterlerini sınırlandırmaz. `_` ayırıcılardan oluşturulmuş bir `Accept-Language` başlığı içeren tek bir kimlik doğrulanmamış GET isteği, nginx-ignition çalışan ana makinede yaklaşık 2,4 saniyelik sunucu CPU kaynağı tüketir; on eşzamanlı saldırgan, saldırı süresince yaklaşık 10 MiB/s üst akış bant genişliği tüketerek on çekirdekli bir sistemi doygunluğa ulaştırır. Sürüm 2.40.1 bu sorunu düzeltmektedir.
Nasıl düzeltilir
- github.com/lucasdillmann/nginx-ignition0.0.0-20260526022344-0c988fc1277c ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/lucasdillmann/nginx-ignitionGo | 0.0.0-20260126024607-cbaf0fc16ed8 ≤ v < 0.0.0-20260526022344-0c988fc1277c | 0.0.0-20260526022344-0c988fc1277c |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.