Nginx 1.31.1- ja 1.30.2-korjaukset on julkaistu. Ne korjaavat kriittisen haavoittuvuuden (CVE-2026-9256), joka mahdollistaa koodin etäsuorittamisen Nginx-työprosessin oikeuksilla lähettämällä erityisesti muodostetun HTTP-pyynnön. Haavoittuvuuden löytäneet tutkijat ovat osoittaneet toimivan hyväksikäyttömenetelmän, joka julkaistaan yhdessä täydellisen kuvauksen kanssa 30 päivää korjauksen julkaisun jälkeen. Haavoittuvuuden koodinimi on nginx-poolslip. Ongelma ilmenee Nginx-versiosta 0.1.17 alkaen. Kirjoitushetkellä Angielle ja Freenginxille ei ole julkaistu korjauksia.
Kuten viime viikolla korjattu vastaava ongelma, tämä uusi haavoittuvuus johtuu ngx_http_rewrite_module-moduulin puskurin ylivuodosta ja ilmenee kokoonpanoissa, joissa on tiettyjä säännöllisiä lausekkeita "rewrite"-direktiivissä. Tässä tapauksessa haavoittuvuus vaikuttaa järjestelmiin, joissa on päällekkäisiä korvausmalleja (sulut sulkujen sisällä) uudelleenkirjoituslausekkeessa, kuten "^/((.*))$" tai "^/(test([123]))$", yhdistettynä useiden nimeämättömien korvausten käyttöön korvausmerkkijonossa (esim. "$1$2").
Huomionarvoista on myös njs 0.9.9:n julkaisu. Kyseessä on moduuli JavaScript-tulkkien integroimiseksi nginx HTTP -palvelimeen. Uusi versio korjaa haavoittuvuuden (CVE-2026-8711), joka on ollut olemassa njs 0.9.4:stä lähtien. Ongelman aiheuttaa puskurin ylivuoto, ja se ilmenee js_fetch_proxy-direktiivin kokoonpanoissa. Tämä direktiivi sisältää nginx-muuttujia, joissa on tietoja asiakaspyynnöstä (kuten $http_*, $arg_* ja $cookie_*), yhdessä ngx.fetch()-funktiota kutsuvan sijaintikäsittelijän kanssa. Haavoittuvuutta voidaan hyödyntää koodin suorittamiseen nginx-työprosessin oikeuksilla lähettämällä erityisesti muotoiltu HTTP-pyyntö.
Lähde: opennet.ru
