Към съдържанието
Търсене

CVE-2026-9256: F5 NGINX Plus, грешка в паметта

9.2

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, при специфични условия, само при определена конфигурация или състояние на системата, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: няма данни за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

NGINX Plus and NGINX Open Source have a vulnerability in the ngx_http_rewrite_module module. This vulnerability exists when a rewrite directive uses a regex pattern with distinct, overlapping Perl-Compatible Regular Expression (PCRE) captures (for example, ^/((.*))$) and a replacement string that references multiple such captures (for example, $1$2) in a redirect or arguments context. An unauthenticated attacker along with conditions beyond their control can exploit this vulnerability by sending crafted HTTP requests. This may cause a heap buffer overflow in the NGINX worker process leading to a restart. Additionally, attackers can execute code on systems with Address Space Layout Randomization (ASLR) disabled or when the attacker can bypass ASLR. Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Засегнати продукти

  • F5 NGINX Plus: 37.0 преди 37.0.1.1; R36 преди R36 P5; R32 преди R32 P7
  • F5 NGINX Open Source: 1.31.0 преди 1.31.1; 1.30.0 преди 1.30.2; 0.1.17 до 0.9.7
  • Red Hat: още 7 продукта, добавени от Red Hat

    Red Hat Enterprise Linux 10, Red Hat Enterprise Linux 8, Red Hat Enterprise Linux 9, Red Hat Discovery 2, Red Hat Hardened Images, Red Hat Update Infrastructure 5, Red Hat Lightspeed proxy 1

Вид слабост

История

  • 22 май 2026 Публикувано

Други уязвимости в F5 NGINX Plus

Първоизточници

CVE-2026-9256: F5 NGINX Plus, грешка в паметта | freedomonline.bg