Boli vydané záplaty pre Nginx 1.31.1 a 1.30.2, ktoré opravujú kritickú zraniteľnosť (CVE-2026-9256), ktorá umožňuje vzdialené spustenie kódu s oprávneniami pracovného procesu Nginx odoslaním špeciálne vytvorenej HTTP požiadavky. Výskumníci, ktorí problém objavili, predviedli funkčný exploit, ktorý bude zverejnený spolu s úplným popisom 30 dní po vydaní záplaty. Zraniteľnosť má kódové označenie nginx-poolslip. Problém sa prejavuje od verzie Nginx 0.1.17. V čase písania tohto článku neboli vydané žiadne záplaty pre Angie a Freenginx.
Podobne ako podobný problém opravený minulý týždeň, aj táto nová zraniteľnosť je spôsobená pretečením vyrovnávacej pamäte v module ngx_http_rewrite_module a prejavuje sa v konfiguráciách s určitými regulárnymi výrazmi v direktíve „rewrite“. V tomto prípade zraniteľnosť ovplyvňuje systémy s prekrývajúcimi sa substitučnými vzormi (zátvorky v zátvorkách) vo výraze prepisovania, ako napríklad „^/((.*))$“ alebo „^/(test([123]))$“, v kombinácii s použitím viacerých nepomenovaných substitúcií v náhradnom reťazci (napr. „$1$2“).
Za zmienku stojí aj vydanie njs 0.9.9, modulu na integráciu interpretov JavaScriptu do HTTP servera nginx. Nová verzia opravuje zraniteľnosť (CVE-2026-8711), ktorá existuje od verzie njs 0.9.4. Problém je spôsobený pretečením vyrovnávacej pamäte a prejavuje sa v konfiguráciách s direktívou js_fetch_proxy, ktorá obsahuje premenné nginx s údajmi z požiadavky klienta (ako napríklad $http_*, $arg_* a $cookie_*), v kombinácii s použitím obslužného programu polohy, ktorý volá funkciu ngx.fetch(). Zraniteľnosť je možné zneužiť na spustenie kódu s privilégiami pracovného procesu nginx odoslaním špeciálne vytvorenej HTTP požiadavky.
Zdroj: opennet.ru
