F5 izdao vanredne zakrpe za tri kritične NGINX ranjivosti

F5 je vanredno objavio bezbednosne zakrpe za niz NGINX proizvoda zbog tri kritične ranjivosti, od kojih su dve u modulu ngx_http_v3_module, a jedna u map direktivi.

Ranjivosti nose oznake CVE-2026-15176, CVE-2026-97205 i CVE-2026-93479. Neprijavljeni napadač može ih iskoristiti na sistemima čija konfiguracija odstupa od podrazumevane da izazove prekid rada usluge ili, na sistemima gde je ASLR isključen ili zaobiđen, izvršavanje koda. Uzroci su prekoračenje bafera na hipu i use-after-free u radnom procesu NGINX-a, što dovodi do pada ili ponovnog pokretanja.

Zakrpe su objavljene za NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric i NGINX Instance Manager.

F5 navodi da zloupotreba u napadima nije zabeležena. Međutim, F5 proizvodi su poslednjih godina česta meta napadača, uključujući i osam ranjivosti koje je američka agencija CISA od novembra 2021. označila kao aktivno zloupotrebljene.

Šta uraditi

• Nadograditi sve pogođene NGINX proizvode na zakrpljene verzije.
• Ako nadogradnja nije odmah moguća, za CVE-2026-15176 izbegavati direktivu alias u location bloku i promenljivu $request_filename.
• Za CVE-2026-97205 isključiti asinhroni ulaz/izlaz (AIO) ili Server Side Includes (SSI).
• Za CVE-2026-93479 koristiti imenovane umesto neimenovanih capture grupa i ograničiti ih na blok sa regularnim izrazom.