🗣 В середине октября компания F5 Networks обнародовала набор…
🗣 В середине октября компания F5 Networks обнародовала набор исправлений для веб-сервера с открытым кодом NGINX, который она развивает. В нем исправлено 11 уязвимостей, из которых 3 являются критическими – они получили оценку в 9.2 балла по CVSS версии 4. Поисковая система Netlas.io обнаружила на территории России наличие более 4,2 млн уязвимых установок данного решения.
🖥 NGINX — это высокопроизводительное ПО с открытым исходным кодом, которое чаще всего используют как веб‑сервер, обратный прокси, балансировщик нагрузки и HTTP‑кэш. Часто он является компонентом сложного веб-приложения – именно он доступен из открытой сети интернет и занимается обработкой и маршрутизацией поступающих веб-запросов. Уязвимость в нем приводит к нарушению защиты всего веб-приложения.
3️⃣ критические уязвимости обнаружены в одном компоненте продукта – NGINX worker:
• CVE-2026-15176 – относится к классу переполнения буфера (CWE-122);
• CVE-2026-93479 – также является переполнением буфера, однако для ее эксплуатации необходимы немного другие условия;
• CVE-2026-97205 – относится к классу использования после освобождения (CWE-416).
Эти уязвимости можно использовать для манипуляции памятью, однако при условии выключенной защиты от таких манипуляции с помощью рандомизации адресного пространства (ASLR). Либо злоумышленнику придется разрабатывать специальную технику для обхода подобной защиты. Это усложняет разработку универсального эксплойта для массовой атаки с проникновением в систему, однако для организации DDoS-атак эти уязвимости вполне подходят и так.
Пользователям версий R37, в которых обнаружен обсуждаемый дефект, лучше всего обновиться до безопасных версий продукта 37.1.0.1 и 37.0.5.1, в которых обнаруженная уязвимость устранена. В более ранних версиях – R36 и младше – этой ошибки нет совсем.
🎙 По словам Владислава Шелепова, обнаруженные уязвимости позволяют удаленному злоумышленнику без авторизации вызвать сбой рабочего процесса NGINX, что может привести к недоступности веб-сервиса. При определенных условиях возможно и выполнение произвольного кода, но для этого защита ASLR должна быть отключена либо обойдена атакующими.
🎙 Эксперт отметил, что, по условиям эксплуатации, сама версия еще не гарантирует успешную атаку. Например, для CVE-2026-97205 требуется определенное сочетание асинхронного ввода-вывода и обработки серверного дополнения SSI. У двух других уязвимостей тоже есть условия, связанные с конфигурацией NGINX. Поэтому ожидается, что прежде всего будут попытки найти серверы, где совпадают необходимые условия эксплуатации.
Полная версия материала на портале
🖥 NGINX — это высокопроизводительное ПО с открытым исходным кодом, которое чаще всего используют как веб‑сервер, обратный прокси, балансировщик нагрузки и HTTP‑кэш. Часто он является компонентом сложного веб-приложения – именно он доступен из открытой сети интернет и занимается обработкой и маршрутизацией поступающих веб-запросов. Уязвимость в нем приводит к нарушению защиты всего веб-приложения.
Сам по себе NGINX очень широко используется в России, – заявил TAdviser Владислав Шелепов, аналитик угроз GSOC «Газинформсервис». – Он встречается на подавляющем большинстве сайтов, размещенных на российских серверах. При этом NGINX часто работает не только как веб-сервер, но и как обратный прокси перед корпоративными приложениями.
3️⃣ критические уязвимости обнаружены в одном компоненте продукта – NGINX worker:
• CVE-2026-15176 – относится к классу переполнения буфера (CWE-122);
• CVE-2026-93479 – также является переполнением буфера, однако для ее эксплуатации необходимы немного другие условия;
• CVE-2026-97205 – относится к классу использования после освобождения (CWE-416).
Эти уязвимости можно использовать для манипуляции памятью, однако при условии выключенной защиты от таких манипуляции с помощью рандомизации адресного пространства (ASLR). Либо злоумышленнику придется разрабатывать специальную технику для обхода подобной защиты. Это усложняет разработку универсального эксплойта для массовой атаки с проникновением в систему, однако для организации DDoS-атак эти уязвимости вполне подходят и так.
Пользователям версий R37, в которых обнаружен обсуждаемый дефект, лучше всего обновиться до безопасных версий продукта 37.1.0.1 и 37.0.5.1, в которых обнаруженная уязвимость устранена. В более ранних версиях – R36 и младше – этой ошибки нет совсем.
🎙 По словам Владислава Шелепова, обнаруженные уязвимости позволяют удаленному злоумышленнику без авторизации вызвать сбой рабочего процесса NGINX, что может привести к недоступности веб-сервиса. При определенных условиях возможно и выполнение произвольного кода, но для этого защита ASLR должна быть отключена либо обойдена атакующими.
🎙 Эксперт отметил, что, по условиям эксплуатации, сама версия еще не гарантирует успешную атаку. Например, для CVE-2026-97205 требуется определенное сочетание асинхронного ввода-вывода и обработки серверного дополнения SSI. У двух других уязвимостей тоже есть условия, связанные с конфигурацией NGINX. Поэтому ожидается, что прежде всего будут попытки найти серверы, где совпадают необходимые условия эксплуатации.
Полная версия материала на портале
Views: 114