BEDROHUNG
Außerplanmäßig veröffentlichte Sicherheitsupdates beheben mehrere Schwachstellen in NGINX – darunter drei kritische Lücken, die nicht-authentifizierten Angreifern unter bestimmten Voraussetzungen die Ausführung von Remote-Code ermöglichen. Die als CVE-2026-15176, CVE-2026-97205 und CVE-2026-93479 geführten Schwachstellen werden jeweils mit einem CVSS-v4.0-Score von 9.2 bewertet.
Nach Angaben von F5 handelt es sich bei CVE-2026-15176 um einen Heap-Based Buffer-Overflow, der bei bestimmten Kombinationen der Direktiven „alias“ und „rewrite“ sowie der Variable „$request_filename“ auftreten kann. CVE-2026-93479 führt ebenfalls zu einem Heap-Buffer-Overflow, der durch die Verarbeitung von Variablen aus regulären Ausdrücken innerhalb der „map“-Direktive ausgelöst werden kann. Die dritte Schwachstelle, CVE-2026-97205, ist ein Use-After-Free-Fehler, der u.a. auftritt, wenn asynchrone Dateioperationen (AIO) und Server-Side Includes (SSI) gemeinsam verwendet werden.
Angreifer können die Schwachstellen mithilfe speziell präparierter HTTP-Anfragen ausnutzen, um Speicherfehler im NGINX-Worker-Prozess zu erzeugen. Dies kann zum Absturz beziehungsweise Neustart des Prozesses und damit zu Denial of Service (DoS) führen. Falls Address-Space-Layout-Randomization (ASLR) deaktiviert ist oder es dem Angreifer gelingt, diesen Schutzmechanismus zu umgehen, kann darüber hinaus die Ausführung von Code möglich sein. Voraussetzung sind jeweils bestimmte, nicht standardmäßige Konfigurationen.
Betroffen sind unter anderem NGINX Open Source, NGINX Plus sowie darauf basierende Produkte wie NGINX Ingress Controller und NGINX Gateway Fabric. Administratoren wird empfohlen, auf eine der abgesicherten Versionen zu aktualisieren. Falls dies kurzfristig nicht möglich ist, empfiehlt F5 unter anderem die betroffenen Direktiven beziehungsweise deren Kombinationen zu vermeiden oder AIO beziehungsweise SSI zu deaktivieren.
Was jetzt zu tun ist:
- umgehend patchen
gegebenenfalls betroffene Direktiven und Funktionen deaktivieren oder anpassen
Autor: Michael Niers
