NGINX izdao zakrpe za pet bezbednosnih propusta
NGINX je 14. oktobra objavio verzije 1.30.6 i 1.31.7, koje otklanjaju pet bezbednosnih propusta. Tri greške u rukovanju memorijom mogu srušiti radni proces i potencijalno omogućiti izvršavanje koda, dok greška u TLS sesijama može dovesti do zaobilaženja provere klijentskog sertifikata. Obuhvaćeni su i propust u HTTP/3 obradi zahteva i različite konfiguracije koje administrator mora izričito da uključi.
NGINX je svih pet propusta označio kao greške srednje ozbiljnosti, ali ih je F5 vrednovao strože: tri memorijska problema imaju CVSS v4.0 ocenu 9,2, TLS propust 8,3, a HTTP/3 propust 6,9. Do 15. oktobra nijedan od njih nije bio u CISA katalogu poznatih aktivno iskorišćavanih ranjivosti, a NGINX i F5 nisu prijavili napade.
Koje konfiguracije zahtevaju proveru
Ranjivost CVE-2026-15176 pogađa lokaciju u kojoj se kombinuju alias, rewrite koji menja URI i čitanje promenljive $request_filename. Takva kombinacija može izazvati prekoračenje hip memorije u radnom procesu. F5 kao privremenu meru navodi izbegavanje alias direktive u toj lokaciji ili nekorišćenje promenljive $request_filename.
CVE-2026-93479 odnosi se na regex map čija se hvatanja koriste u root ili log_format pre izlazne promenljive mape. Problem je vezan za kod za obradu niskova menjan u julskoj zakrpi za CVE-2026-42533. Preporučeno privremeno ograničenje je korišćenje imenovanih hvatanja isključivo u bloku u kojem se regex podudaranje izvršava.
Za CVE-2026-97205 potrebni su uključen AIO i SSI stranica sa include virtual komandama, u pojedinim konfiguracijama. Više paralelnih asinhronih operacija može prepuniti osmobitni brojač, osloboditi zahtev dok operacije još upućuju na njegovu memoriju i izazvati oštećenje memorije. Privremena mera je isključivanje AIO-a ili prestanak posluživanja SSI stranica.
TLS sesije i HTTP/3 saobraćaj
CVE-2026-97629 zahteva deljeni TLS keš sesija bez direktive ssl_session_ticket_key, čime je uključena automatska rotacija ključeva. Od verzije 1.23.2 svaki radni proces čuva tri slota ključeva, ali je rotacija kopirala samo dva. Treći slot mogao je sadržati neinicializovan materijal, pa je određeni tiket mogao biti verifikovan i dešifrovan tim sadržajem. F5 navodi da je falsifikovanje nedeterminističko i van kontrole napadača, ali da bi moglo zaobići proveru klijentskog sertifikata.
Administratori koji ne mogu odmah da nadograde mogu ukloniti deljeni keš ili učitati ključeve iz datoteke putem ssl_session_ticket_key. Sistemi sa ssl_session_tickets off nisu pogođeni. Posebnu pažnju zaslužuje činjenica da dokumentacija NGINX-a kao primer koristi direktivu ssl_session_cache shared:SSL:10m.
CVE-2026-95101 utiče na HTTP/3 kada je proxy_request_buffering uključen, što je podrazumevano stanje. Klijent može ubaciti dodatne bajtove u prosleđeni zahtev ili telo iza ograničenja client_max_body_size. Kao zaobilazno rešenje F5 preporučuje isključivanje proxy_request_buffering dok se zakrpa ne primeni.
Prioriteti za administratore
Za stabilnu granu preporučena je nadogradnja na 1.30.6, a za mainline na 1.31.7. NGINX objavljuje zakrpe samo za te dve grane, pa starije grane, uključujući 1.28, ostaju u navedenim rasponima osim ako distributer nije preneo ispravke u svoj paket.
Operativni timovi mogu pokrenuti nginx -T i pretražiti aktivnu konfiguraciju za alias uz rewrite, regex map uz root ili log_format, kombinaciju aio i ssi, QUIC listen linije, kao i ssl_session_cache shared bez ssl_session_ticket_key. NGINX Plus korisnici i korisnici F5 Ingress Controller, Gateway Fabric, Instance Manager i WAF proizvoda treba da provere F5 bezbednosna obaveštenja za pogođene verzije. Praktičan poslovni zaključak je da nadogradnju treba povezati sa pregledom stvarno uključenih direktiva, jer je izloženost u ovim slučajevima određena konkretnom konfiguracijom, a ne samo instaliranom verzijom.