4 strony

Nginx

Krytyczna luka w Nginx może powodować awarie i potencjalnie zdalne wykonanie kodu

Krytyczna luka w Nginx pozwala na zdalne wykonanie kodu. Dowiedz się, jak ją załatać i jakie są potencjalne skutki. Aktualizuj Nginx!

Odkryto krytyczną lukę w Nginx (CVE-2026-42533) pozwalającą na zdalne wykonanie kodu poprzez przepełnienie bufora na stercie przy użyciu spreparowanych żądań HTTP, która dotyka wersje od 0.9.6 do 1.31.2. Problem występuje w silniku skryptowym Nginx w specyficznych konfiguracjach z mapowaniem opartym na wyrażeniach regularnych i może prowadzić do awarii serwera lub zdalnego wykonania kodu, jeśli mechanizmy bezpieczeństwa takie jak ASLR są wyłączone lub mogą zostać ominięte. Naprawę zapewniają aktualizacje Nginx 1.30.4 (stable), 1.31.3 (mainline) oraz NGINX Plus 37.0.3.1, a tymczasową metodą łagodzącą jest przełączenie map regex na nazwane przechwycenia, choć niektórzy badacze wskazują, że ta metoda może nie być w pełni bezpieczna.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

Nowa podatność "HTTP/2 Bomb" umożliwia zdalne ataki DoS na NGINX, Apache, IIS, Envoy i Cloudflare

Odkryto "HTTP/2 Bomb" – podatność umożliwiającą zdalne ataki DoS na popularne serwery webowe, takie jak NGINX, Apache i IIS. Dowiedz się, jak się chronić.

Badacze bezpieczeństwa odkryli nową podatność “HTTP/2 Bomb”, pozwalającą na zdalne ataki typu denial-of-service na kluczowe serwery webowe jak NGINX, Apache HTTPD, Microsoft IIS, Envoy i Cloudflare Pingora. Wykorzystując kombinację technik kompresji nagłówków HPACK i “slowloris”, atakujący może zasoby serwera, doprowadzając do jego niedostępności nawet z wykorzystaniem domowego połączenia internetowego.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Aktywne wykorzystanie luki CVE-2026-42945 w NGINX powoduje awarie i potencjalne zdalne wykonanie kodu

Aktywne wykorzystanie luki CVE-2026-42945 w NGINX powoduje awarie i potencjalne RCE. Ujawniono też wykorzystanie luk w openDCIM.

Nowo ujawniona luka bezpieczeństwa w NGINX Plus i NGINX Open, oznaczona jako CVE-2026-42945 (CVSS 9.2), jest aktywnie wykorzystywana przez cyberprzestępców, umożliwiając nieautoryzowanym atakującym awarię procesów roboczych lub wykonanie zdalnego kodu, szczególnie gdy wyłączona jest ochrona ASLR. Jednocześnie ujawniono również aktywne wykorzystanie krytycznych luk w openDCIM (CVE-2026-28515, CVE-2026-28517, CVE-2026-28516), które po połączeniu pozwalają na zdalne wykonanie kodu i uruchomienie powłoki zwrotnej.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

18-letnia luka w module NGINX Rewrite umożliwia zdalne wykonanie kodu bez uwierzytelnienia

Odkryto 18-letnią lukę NGINX Rift (CVE-2026-42945) umożliwiającą RCE bez uwierzytelnienia. Aktualizacja jest pilnie zalecana.

Wykryto krytyczną, 18-letnią lukę bezpieczeństwa w module NGINX Rewrite (CVE-2026-42945), która pozwala atakującym bez uwierzytelnienia na zdalne wykonanie kodu (RCE) lub atak DoS poprzez wysłanie spreparowanych żądań HTTP. Problem, nazwany NGINX Rift, polega na przepełnieniu bufora sterty, a jego potencjalne skutki są poważne, zwłaszcza przy wyłączonym ASLR.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)