nginx'is on tuvastatud teine kaugjuhtimisega haavatavus 10 päeva jooksul

On loodud korrektuuriversioonid nginx 1.31.1 ja 1.30.2, milles on kõrvaldatud kriitiline haavatavus (CVE-2026-9256), mis võimaldab kaugelt käivitada koodi nginx'i tööprotsessi õigustes, saates spetsiifiliselt vormindatud HTTP-päringu. Probleemi avastanud teadlased demonstreerisid töötavat eksploidimist, mis avaldatakse koos täieliku kirjeldusega 30 päeva pärast parandamist. Haavatavus sai koodnimeks nginx-poolslip. Probleem ilmneb alates versioonist nginx 0.1.17. Angie ja freenginx jaoks ei ole uudise kirjutamise hetkel parandusi avaldatud.

Nagu ka eelmisel nädalal kõrvaldatud sarnane probleem, on uus haavatavus põhjustatud puhvri üleujutusest ngx_http_rewrite_module moodulis ja ilmneb konfiguratsioonides, kus on teatud regulaaravaldised direktiivis «rewrite». Antud juhul mõjutab haavatavus süsteeme, kus on kattuvad mustrid asendamiseks (sulgudes olevad sulud) rewrite-avaldises, näiteks «^\/((.*))$» või «^\/(test([123]))$», koos mitme nimetamata asendusega asenduste real (näiteks «$1$2»).

Lisaks on välja antud njs 0.9.9, moodul, mis integreerib JavaScripti tõlgendajad http-serverisse nginx. Uues versioonis on kõrvaldatud haavatavus (CVE-2026-8711), mis ilmneb alates versioonist njs 0.9.4. Probleem on põhjustatud puhvri üleujutusest ja ilmneb konfiguratsioonides, kus kasutatakse js_fetch_proxy direktiivi, mis sisaldab nginx'i muutujaid, millel on kliendi päringust saadud andmed (näiteks $http_*, $arg_* ja $cookie_*), koos location-käsitsejaga, mis kutsub välja funktsiooni ngx.fetch(). Haavatavust saab ekspluateerida koodi käivitamiseks nginx'i tööprotsessi õigustes spetsiifiliselt vormindatud HTTP-päringu saatmise kaudu.

Allikas: opennet.ru