Duas vulnerabilidades cr\u00edticas no NGINX Open Source foram corrigidas pela F5 nesta semana. As falhas permitem execu\u00e7\u00e3o remota de c\u00f3digo em sistemas vulner\u00e1veis, sem necessidade de autentica\u00e7\u00e3o. O problema atinge principalmente m\u00f3dulos que lidam com HTTP\/3 e proxy, impactando tamb\u00e9m outros produtos da linha, como NGINX Plus e Ingress Controller.<\/p>\n
As falhas receberam a classifica\u00e7\u00e3o de gravidade 9,2 na escala CVSS v4. A primeira envolve o m\u00f3dulo ngx_http_v3_module e foi definida como use-after-free, um erro de acesso \u00e0 mem\u00f3ria liberada. A segunda \u00e9 um heap-based buffer overflow, atingindo ngx_http_proxy_v2_module e ngx_http_grpc_module.<\/p>\n
As vulnerabilidades surgem em cen\u00e1rios espec\u00edficos de configura\u00e7\u00e3o. A falha do HTTP\/3 ocorre quando o NGINX Open Source utiliza o m\u00f3dulo QUIC e um atacante pode reabrir um stream do encoder QPACK por meio de uma sess\u00e3o HTTP\/3 especialmente criada. A explora\u00e7\u00e3o depende do ASLR estar desativado ou de contorno \u00e0 prote\u00e7\u00e3o.<\/p>\n
A F5 comunicou corre\u00e7\u00f5es para v\u00e1rias vers\u00f5es do NGINX Open Source, incluindo 1.31.2 e 1.30.3, conforme a vers\u00e3o instalada. Al\u00e9m disso, produtos como NGINX Plus, NGINX Gateway Fabric, NGINX Instance Manager, NGINX Ingress Controller e as vers\u00f5es WAF\/DoS do NGINX App Protect receberam atualiza\u00e7\u00f5es de seguran\u00e7a.<\/p>\n
O CVE-2026-42055 envolve tamb\u00e9m uma condi\u00e7\u00e3o de explora\u00e7\u00e3o que requer tr\u00eas itens simult\u00e2neos: configura\u00e7\u00e3o da proxy_http_version como 2, uso de grpc_pass para proxy de HTTP\/2 e a diretiva ignore_invalid_headers desativada, com large_client_header_buffers acima de 2 MB. A presen\u00e7a de ASLR desativado amplia o risco.<\/p>\n
Para quem n\u00e3o atualizou, a F5 recomenda medidas tempor\u00e1rias. No CVE-2026-42530, desative o suporte a HTTP\/3 no servidor. No CVE-2026-42055, remova a diretiva ignore_invalid_headers off ou reduza o tamanho de large_client_header_buffers para menos de 2 MB. Tais a\u00e7\u00f5es reduzem a exposi\u00e7\u00e3o at\u00e9 a aplica\u00e7\u00e3o das corre\u00e7\u00f5es oficiais.<\/p>\n
A empresa afirma que ainda n\u00e3o houve confirma\u00e7\u00e3o de explora\u00e7\u00e3o ativa das duas vulnerabilidades at\u00e9 o momento da publica\u00e7\u00e3o. Diversos ataques anteriores j\u00e1 atingiram produtos da linha NGINX, o que eleva a preocupa\u00e7\u00e3o entre administradores e equipes de seguran\u00e7a.<\/p>\n
A vulnerabilidade use-after-free ocorre quando o sistema acessa mem\u00f3ria j\u00e1 liberada, gerando potential falhas de seguran\u00e7a. J\u00e1 o overflow de heap envolve estouro de mem\u00f3ria destinada ao heap, abrindo caminho para execu\u00e7\u00e3o de c\u00f3digo malicioso. Ambos exigem condi\u00e7\u00f5es espec\u00edficas de configura\u00e7\u00e3o para serem explorados.<\/p>\n
Especialistas destacam que a corre\u00e7\u00e3o abrange diversas plataformas da linha NGINX, n\u00e3o apenas o NGINX Open Source, o que refor\u00e7a a necessidade de aplic\u00e1-la em ambientes que utilizam NGINX Plus, Ingress Controller e outros componentes conectados.<\/p>\n","protected":false},"excerpt":{"rendered":"