Viraka vya Nginx 1.31.1 na 1.30.2 vimetolewa, na kurekebisha udhaifu muhimu (CVE-2026-9256) unaoruhusu utekelezaji wa msimbo wa mbali pamoja na marupurupu ya mchakato wa mfanyakazi wa Nginx kwa kutuma ombi maalum la HTTP. Watafiti waliogundua suala hilo wameonyesha unyonyaji unaofanya kazi, ambao utachapishwa pamoja na maelezo kamili siku 30 baada ya kiraka kutolewa. Udhaifu huo umepewa jina la msimbo nginx-poolslip. Tatizo linajitokeza kuanzia toleo la Nginx 0.1.17. Wakati wa kuandika haya, hakuna viraka vilivyochapishwa kwa Angie na Freenginx.
Kama tatizo kama hilo lililotatuliwa wiki iliyopita, udhaifu huu mpya unasababishwa na kufurika kwa bafa katika moduli ya ngx_http_rewrite_module na hujidhihirisha katika usanidi wenye misemo fulani ya kawaida katika agizo la "kuandika upya". Katika hali hii, udhaifu huathiri mifumo yenye mifumo ya ubadilishaji inayoingiliana (mabano ndani ya mabano) katika usemi wa kuandika upya, kama vile "^/((.*))$" au "^/(test([123]))$", pamoja na matumizi ya mbadala nyingi zisizo na majina katika kamba mbadala (k.m., "$1$2").
Pia jambo la kuzingatia ni kutolewa kwa njs 0.9.9, moduli ya kuunganisha wakalimani wa JavaScript kwenye seva ya nginx HTTP. Toleo jipya hurekebisha udhaifu (CVE-2026-8711) ambao umekuwepo tangu njs 0.9.4. Tatizo hili linasababishwa na kufurika kwa bafa na hujidhihirisha katika usanidi na agizo la js_fetch_proxy, ambalo lina vigeu vya nginx vyenye data kutoka kwa ombi la mteja (kama vile $http_*, $arg_*, na $cookie_*), pamoja na matumizi ya kidhibiti cha eneo kinachoita kitendakazi cha ngx.fetch(). Udhaifu unaweza kutumiwa kutekeleza msimbo na haki za mchakato wa mfanyakazi wa nginx kwa kutuma ombi la HTTP lililoundwa maalum.
Chanzo: opennet.ru
