Gipagawas na ang mga patch sa Nginx 1.31.1 ug 1.30.2, nga nag-ayo sa usa ka kritikal nga kahuyangan (CVE-2026-9256) nga nagtugot sa remote code execution nga adunay mga pribilehiyo sa usa ka proseso sa Nginx worker pinaagi sa pagpadala sa usa ka espesyal nga gihimo nga HTTP request. Ang mga tigdukiduki nga nakadiskubre sa isyu nagpakita sa usa ka nagtrabaho nga exploit, nga ipatik uban ang usa ka kompleto nga paghulagway 30 ka adlaw pagkahuman sa pagpagawas sa patch. Ang kahuyangan gi-codenamed nga nginx-poolslip. Ang isyu nagpakita sa iyang kaugalingon sugod sa Nginx nga bersyon 0.1.17. Sa panahon sa pagsulat niini, wala pa'y mga patch nga gipatik alang sa Angie ug Freenginx.
Sama sa susamang isyu nga naayo sa miaging semana, kini nga bag-ong kahuyangan gipahinabo sa usa ka buffer overflow sa ngx_http_rewrite_module module ug makita sa mga configuration nga adunay pipila ka regular expressions sa "rewrite" directive. Niini nga kaso, ang kahuyang makaapekto sa mga sistema nga adunay nagsapaw-sapaw nga mga substitution pattern (mga parenthesis sulod sa mga parenthesis) sa rewrite expression, sama sa "^/((.*))$" o "^/(test([123]))$", inubanan sa paggamit sa daghang wala nganli nga mga substitution sa replacement string (pananglitan, "$1$2").
Angayan usab nga matikdan ang pagpagawas sa njs 0.9.9, usa ka module para sa pag-integrate sa mga JavaScript interpreter ngadto sa nginx HTTP server. Ang bag-ong bersyon nag-ayo sa usa ka kahuyangan (CVE-2026-8711) nga anaa sukad pa sa njs 0.9.4. Ang isyu gipahinabo sa usa ka buffer overflow ug makita sa mga configuration sa js_fetch_proxy directive, nga adunay mga nginx variable nga adunay datos gikan sa client request (sama sa $http_*, $arg_*, ug $cookie_*), inubanan sa paggamit sa usa ka location handler nga nagtawag sa ngx.fetch() function. Ang kahuyangan mahimong magamit aron ipatuman ang code nga adunay mga pribilehiyo sa nginx worker process pinaagi sa pagpadala sa usa ka espesyal nga gihimo nga HTTP request.
Source: opennet.ru
