Byly vydány záplaty pro Nginx 1.31.1 a 1.30.2, které opravují kritickou zranitelnost (CVE-2026-9256), jež umožňuje vzdálené spuštění kódu s oprávněními pracovního procesu Nginx odesláním speciálně vytvořeného HTTP požadavku. Výzkumníci, kteří problém objevili, prokázali funkční exploit, který bude zveřejněn spolu s úplným popisem 30 dní po vydání záplaty. Zranitelnost má kódové označení nginx-poolslip. Problém se projevuje od verze Nginx 0.1.17. V době psaní tohoto článku nebyly publikovány žádné záplaty pro Angie a Freenginx.
Stejně jako podobný problém opravený minulý týden je tato nová zranitelnost způsobena přetečením vyrovnávací paměti v modulu ngx_http_rewrite_module a projevuje se v konfiguracích s určitými regulárními výrazy v direktivě „rewrite“. V tomto případě zranitelnost postihuje systémy s překrývajícími se substitučními vzory (závorky v závorkách) ve výrazu pro přepisování, jako například „^/((.*))$“ nebo „^/(test([123]))$“, v kombinaci s použitím více nepojmenovaných substitucí v náhradním řetězci (např. „$1$2“).
Za zmínku stojí také vydání njs 0.9.9, modulu pro integraci interpretů JavaScriptu do HTTP serveru nginx. Nová verze opravuje zranitelnost (CVE-2026-8711), která existuje od verze njs 0.9.4. Problém je způsoben přetečením vyrovnávací paměti a projevuje se v konfiguracích s direktivou js_fetch_proxy, která obsahuje proměnné nginx s daty z požadavku klienta (například $http_*, $arg_* a $cookie_*), v kombinaci s použitím obslužné rutiny polohy, která volá funkci ngx.fetch(). Tuto zranitelnost lze zneužít ke spuštění kódu s oprávněními pracovního procesu nginx odesláním speciálně vytvořeného HTTP požadavku.
Zdroj: opennet.ru
