Correcties van nginx 1.31.1 en 1.30.2 zijn uitgebracht, waarin een kritieke kwetsbaarheid (CVE-2026-9256) is verholpen, die op afstand het uitvoeren van code met de rechten van het nginx-proces mogelijk maakt door het verzenden van een speciaal opgemaakt HTTP-verzoek. De onderzoekers die het probleem hebben ontdekt, hebben een werkende exploit gedemonstreerd, die samen met de volledige beschrijving 30 dagen na de patch zal worden gepubliceerd. De kwetsbaarheid is met de codenaam nginx-poolslip aangeduid. Het probleem doet zich voor vanaf versie nginx 0.1.17. Voor angie en freenginx zijn op het moment van schrijven nog geen patches beschikbaar.
Net als het vorige week verholpen vergelijkbare probleem, wordt de nieuwe kwetsbaarheid veroorzaakt door een buffer-overflow in de ngx_http_rewrite_module en doet deze zich voor in configuraties met bepaalde regulier expressies in de 'rewrite'-directieve. In dit geval raakt de kwetsbaarheid systemen met overlappende patronen voor substitutie (haakjes binnen haakjes) in de rewrite-expressie, zoals '^/((.*))$' of '^/(test([123]))$', in combinatie met het gebruik van meerdere niet-genoemde substituten in de vervangende string (bijvoorbeeld '$1$2').
Bovendien kan de release van njs 0.9.9 worden vermeld, een module voor de integratie van JavaScript-interpreters in de http-server nginx. In de nieuwe versie is een kwetsbaarheid (CVE-2026-8711) verholpen, die vanaf versie njs 0.9.4 voorkomt. Het probleem is veroorzaakt door een buffer-overflow en komt voor in configuraties met de js_fetch_proxy-directieve, waarin nginx-variabelen staan die gegevens bevatten uit het klantverzoek (zoals $http_*, $arg_* en $cookie_*), in combinatie met het gebruik van een locatiehandler die de functie ngx.fetch() aanroept. De kwetsbaarheid kan worden geƫxploiteerd om code met de rechten van het nginx-proces uit te voeren door het verzenden van een speciaal opgemaakt HTTP-verzoek.
Bron: opennet.ru
