El miércoles,
F5 publicó actualizaciones de seguridad extraordinarias
para solucionar múltiples vulnerabilidades de NGINX, incluyendo fallos
críticos que podrían permitir la ejecución de código.
Este problema afecta tanto a las implementaciones de NGINX Open Source como a
las de NGINX Plus. Los investigadores de seguridad advierten que los atacantes
podrían explotar esta vulnerabilidad para provocar ataques de denegación de
servicio (DoS) o ejecutar código malicioso bajo configuraciones específicas.
Las más graves son CVE-2026-42530 y CVE-2026-42055 (CVSS de 9.2), dos errores
que afectan a los módulos HTTP y que podrían explotarse sin autenticación para
provocar, respectivamente, un desbordamiento de búfer basado en el montón o un
error de uso de memoria liberada (use-after-free).
La explotación exitosa de estas vulnerabilidades provocaría el reinicio del
proceso de trabajo de NGINX, causando una denegación de servicio (DoS). Si la
aleatorización del espacio de direcciones (ASLR) está deshabilitada o se puede
eludir, el atacante podría ejecutar código arbitrario. La CVE-2026-42530,
afecta al módulo ngx_http_v3_module de NGINX.
Otra vulnerabilidad de alto riesgo, CVE-2026-42055, afecta a los módulos
ngx_http_proxy_v2_module y ngx_http_grpc_module.
Estas vulnerabilidades afectan a las versiones 1.31.0 y 1.31.1 de NGINX
Open Source. F5 ha publicado versiones actualizadas de NGINX Plus, NGINX Open Source y
NGINX Gateway Fabric que solucionan estos defectos de seguridad.
La vulnerabilidad se ha resuelto en las versiones 1.30.3 y 1.31.2 de NGINX
Open Source, así como en NGINX Plus versión 37.0.2.1 y R36 P6.
La compañía también lanzó correcciones para CVE-2026-11311 y CVE-2026-50107,
dos vulnerabilidades de alta gravedad en NGINX Gateway Fabric que podrían
permitir a atacantes autenticados inyectar directivas de configuración
arbitrarias de NGINX. Estos fallos afectan a las versiones 2.3.0 a 2.6.3 y se han corregido en la
versión 2.6.4.
«Una explotación exitosa podría permitir al atacante exponer datos
confidenciales del sistema de archivos del pod de NGINX, redirigir el
tráfico a puntos finales controlados por el atacante o provocar una
denegación de servicio (DoS) mediante la inyección de una configuración que
impide que NGINX se recargue», explica F5.
Además, la compañía de ciberseguridad anunció parches para dos fallos de
gravedad media en NGINX que permiten a atacantes remotos revelar el contenido
de la memoria, reiniciar el proceso de trabajo de NGINX o provocar una
denegación de servicio.
F5 no menciona que ninguna de estas vulnerabilidades esté siendo explotada en
la práctica, pero es importante que los usuarios instalen los parches, ya que
NGINX ha sido objetivo de ataques recientemente.
Fuente:
Nginx