Описание
Уязвимость модулей ngx_http_proxy_v2_module и ngx_http_grpc_module веб-серверов NGINX Plus и NGINX Open Source связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании
Вендор
ООО «Ред Софт»
NGINX Inc.
ООО «Веб-Сервер»
ООО «1С-Битрикс»
АО «СберТех»
Наименование ПО
РЕД ОС
NGINX Plus
NGINX App Protect DoS
NGINX Gateway Fabric
NGINX Ingress Controller
NGINX Instance Manager
NGINX App Protect WAF
F5 DoS for NGINX
NGINX Open Source
F5 WAF for NGINX
Angie
Angie PRO
bx-nginx
Platform V SynGX
Версия ПО
7.3 (РЕД ОС)
8.0 (РЕД ОС)
от R33 до R36 включительно (NGINX Plus)
от 4.3.0 до 4.7.0 включительно (NGINX App Protect DoS)
от 1.3.0 до 1.6.2 включительно (NGINX Gateway Fabric)
от 4.0.0 до 4.0.1 включительно (NGINX Ingress Controller)
от 3.5.0 до 3.7.2 включительно (NGINX Ingress Controller)
от 2.17.0 до 2.22.0 включительно (NGINX Instance Manager)
от 5.2.0 до 5.8.0 включительно (NGINX App Protect WAF)
от 4.10.0 до 4.16.0 включительно (NGINX App Protect WAF)
4.9.0 (F5 DoS for NGINX)
от 37.0.0 до 37.0.1 включительно (NGINX Plus)
от 1.30.0 до 1.30.2 включительно (NGINX Open Source)
1.31.1 (NGINX Open Source)
от 5.9.0 до 5.13.1 включительно (F5 WAF for NGINX)
от 2.0.0 до 2.6.3 включительно (NGINX Gateway Fabric)
от 5.0.0 до 5.5.0 включительно (NGINX Ingress Controller)
до 1.11.8 (Angie)
до 1.11.8 (Angie PRO)
до 1.30.4 (bx-nginx)
3.2.0-fstec (Platform V SynGX)
Тип ПО
Операционная система
Сетевое средство
Программное средство защиты
Прикладное ПО информационных систем
Сетевое программное средство
Операционные системы и аппаратные платформы
ООО «Ред Софт» РЕД ОС 7.3
ООО «Ред Софт» РЕД ОС 8.0
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,1)
Критический уровень опасности (оценка CVSS 4.0 составляет 9,2)
Возможные меры по устранению уязвимости
Использование рекомендаций:
https://my.f5.com/manage/s/article/K000161584
Для Angie:
https://angie.software/news/releases/angie-1-11-8/
Для пакета bx-nginx:
Обновление пакета bx-nginx до версии 1.30.4 и выше
Для Ред ОС:
https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2026-42055
Для Platform V SynGX:
Обновление Platform V SynGX до версии 3.2.1-fstec
Компенсирующие меры:
В случае невозможности установки обновлений выполните одно или оба из следующих действий:
- удалите директиву ignore_invalid_headers off из конфигурации:
- уменьшите размер директивы large_client_header_buffers до размера меньше 2 мегабайт.
Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/
Для Ред ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 94%
0.06537
Низкий
8.1 High
CVSS3
7.6 High
CVSS2
EPSS
Процентиль: 94%
0.06537
Низкий
8.1 High
CVSS3
7.6 High
CVSS2