Des versions correctives de nginx 1.31.1 et 1.30.2 ont été publiées, corrigeant une vulnérabilité critique (CVE-2026-9256) permettant d'exécuter du code à distance avec les privilèges de travail de nginx via l'envoi d'une requête HTTP spécialement formatée. Les chercheurs ayant identifié le problème ont démontré un exploit fonctionnel, qui sera publié avec une description complète 30 jours après le correctif. Cette vulnérabilité a été nommée nginx-poolslip. Le problème se manifeste depuis la version nginx 0.1.17. Aucun correctif n'est publié pour angie et freenginx au moment de la rédaction de cette nouvelle.
Comme le problème similaire corrigé la semaine dernière, cette nouvelle vulnérabilité est causée par un débordement de tampon dans le module ngx_http_rewrite_module et se manifeste dans les configurations avec certaines expressions régulières dans la directive « rewrite ». Dans ce cas, la vulnérabilité affecte les systèmes avec des motifs de substitution se chevauchant (parenthèses dans des parenthèses) dans l'expression de rewrite, par exemple « ^\/((.*))$ » ou « ^\/(test([123]))$ », en combinaison avec l'utilisation de plusieurs substitutions non nommées dans la chaîne de remplacement (par exemple « $1$2 »).
On peut également noter la sortie de njs 0.9.9, un module d'intégration des interpréteurs JavaScript dans le serveur HTTP nginx. Dans cette nouvelle version, une vulnérabilité (CVE-2026-8711) a été corrigée, se manifestant depuis la version njs 0.9.4. Le problème est causé par un débordement de tampon et se manifeste dans les configurations avec la directive js_fetch_proxy, contenant des variables nginx avec des données de la requête client (par exemple, $http_*, $arg_* et $cookie_*), en combinaison avec l'utilisation d'un gestionnaire de location appelant la fonction ngx.fetch(). Cette vulnérabilité peut être exploitée pour exécuter du code avec les privilèges de travail de nginx via l'envoi d'une requête HTTP spécialement formatée.
Source : opennet.ru
