F5'ten NGINX ve BIG-IP için bant dışı güvenlik güncellemesi: kritik CVE-2026-42533 kapatıldı
F5, sekiz açığı gideren plansız bir güncelleme yayımladı. En ciddisi NGINX'te CVSS 9.2 puanlı bir yığın taşması; BIG-IP tarafında HTTP/2 profilli sanal sunucuları etkileyen bir DoS açığı da düzeltildi.
F5, olağan üç aylık takviminin dışında, NGINX ve BIG-IP ürünlerinde toplam sekiz açığı kapatan bant dışı (out-of-band) bir güvenlik güncellemesi yayımladı. ThaiCERT'in SecurityWeek'e dayanarak aktardığı bilgilere göre güncellemedeki en ciddi açık kritik seviyede.
En ciddi açık NGINX'te
CVE-2026-42533 (CVSS 9.2), hem NGINX Plus hem de NGINX Open Source'u etkileyen bir yığın (heap) taşması. Açık, kimlik doğrulaması gerektirmeden tetiklenebiliyor ancak saldırganın kontrolü dışındaki bazı koşullara bağlı. Başarılı bir saldırı NGINX worker sürecinin yeniden başlamasına yol açıyor; ASLR devre dışıysa etki kod çalıştırmaya kadar uzanabiliyor.
Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›
Açığın tetiklenmesi, düzenli ifade (regex) eşleştirmesi kullanan bir map yönergesinde, bir dize ifadesinin map çıkış değişkeninden önce bir regex yakalama değişkenine başvurmasına bağlı. Bazı koşullarda önbelleğe alınamayan bir değişken de aynı sonuca yol açabiliyor.
Diğer düzeltmeler
- NGINX'in
ngx_http_slice_modulevengx_http_ssi_modulebileşenlerinde, bellek ifşası, worker yeniden başlaması veya use-after-free'ye yol açabilen yüksek önem dereceli açıklar. - NGINX Ingress Controller'da, kimliği doğrulanmış saldırganın yapılandırma komutu enjekte ederek hizmet reddine yol açmasına imkân veren bir açık.
- BIG-IP'de, HTTP/2 profili tanımlı sanal sunucularda uzak ve kimliği doğrulanmamış bir saldırganın bellek kullanımını artırarak hizmet reddine yol açabildiği yüksek önem dereceli bir açık.
Duyuru sırasında F5, bu açıkların herhangi birinin saldırılarda kullanıldığını bildirmedi.
Ne yapılmalı?
- NGINX yapılandırmalarınızda regex kullanan
mapyönergelerini gözden geçirin ve F5'in bildirimindeki düzeltilmiş NGINX Plus / Open Source sürümlerine geçin. - ASLR'nin işletim sisteminde etkin olduğunu doğrulayın; bu, olası etkiyi hizmet reddiyle sınırlıyor.
- BIG-IP'de HTTP/2 profili kullanan sanal sunucuları belirleyip ilgili K makalesindeki düzeltilmiş sürüme yükseltin.
- Kubernetes ortamlarında NGINX Ingress Controller sürümünü kontrol edin ve yapılandırma yazma yetkilerini daraltın.
