问题概述
F5 已发布 NGINX 安全更新,修复 NGINX Open Source、NGINX Plus 及基于其构建的产品中的 3 个高危漏洞。每个漏洞的评级均为高危(CVSS v3.1 8.1分)和严重(CVSS v4.0 9.2分)。这些漏洞只有在服务器使用下列特定配置、并满足一定条件时,才可能被未经身份验证的远程攻击者利用。
漏洞列表:
- CVE-2026-15176:ngx_http_core_module 堆缓冲区溢出。当
alias与rewrite一起使用,且set/return引用$request_filename时触发;在访问日志log_format中使用$request_filename也会触发。 - CVE-2026-93479:使用正则匹配的
map指令存在堆缓冲区溢出。当root指令或访问日志格式先引用 map 的正则捕获变量、后引用 map 输出变量时触发。 - CVE-2026-97205:ngx_http_core_module 释放后使用(Use After Free)。在启用异步文件 I/O(
aio)且服务器端包含(ssi)页面使用include virtual时触发。
风险: 攻击者可导致 NGINX 工作进程崩溃,造成拒绝服务(DoS)。在禁用 ASLR 或 ASLR 可被绕过的系统上,攻击者还可能执行任意代码。漏洞仅影响数据平面,不涉及控制平面。
您需要做什么(请立即处理)
所有运行 NGINX 或下列基于 NGINX 的 F5 产品的团队,必须立即升级。
受影响版本(如正在使用以下任一版本,请更新):
- NGINX Open Source:1.31.0 – 1.31.6、1.0.0 – 1.30.5、0.1.29 – 0.9.9(0.x 无修复版本,请升级至 1.31.7 或 1.30.6)
- NGINX Plus:37.0.0 – 37.0.4,以及 R33 – R36(R 分支无修复版本)
- NGINX Instance Manager:2.18.0 – 2.23.0
- F5 WAF for NGINX:5.9.0 – 5.15.0
- F5 DoS for NGINX:4.8.0 – 4.10.0
- NGINX Gateway Fabric:2.1.0 – 2.7.2,以及 1.5.0 – 1.6.2(1.x 无修复版本)
- NGINX Ingress Controller:5.0.0 – 5.6.3、4.0.0 – 4.0.1、3.7.1 – 3.7.2,以及 LTS 2026-lts-r3 – r8(3.x、4.x 及 LTS 无修复版本)
- NGINX App Protect WAF:5.4.0 – 5.8.0 及 4.12.0 – 4.16.0(无修复版本)
- NGINX App Protect DoS:4.5.0 – 4.7.0(无修复版本)
不受影响:BIG-IP(所有模块)、BIG-IQ、F5 Insight、F5OS、BIG-IP Next、F5 Distributed Cloud、NGINX One Console 及 F5 AI Gateway。
如无法立即更新: 请先采用以下临时缓解措施。
- CVE-2026-15176:避免在 location 块中使用
alias,并避免使用$request_filename变量。 - CVE-2026-93479:不要使用未命名的正则捕获,改用命名捕获,并仅在正则匹配所在的块内使用。
- CVE-2026-97205:关闭
aio或ssi其中之一。运行nginx -T,确认没有被包含的配置文件重新开启该指令。
如您使用的分支无修复版本(NGINX Open Source 0.x、NGINX Plus R33–R36、App Protect WAF/DoS、Gateway Fabric 1.x、Ingress Controller 3.x/4.x/LTS),请规划迁移至已修复的分支。
已修复版本
- NGINX 开源版：1.31.7 / 1.30.6
- NGINX Plus：37.0.5.1 / 37.1.0.1
- NGINX Instance Manager：2.24.0
- F5 WAF for NGINX：5.16.0 / 5.14.2
- F5 DoS for NGINX：4.11.0
- NGINX Gateway Fabric：2.8.0
- NGINX Ingress Controller：5.7.0
文章评论