CVE-2026-27654

Pakiet nginx przed wersją 1.6.2-5+deb8u3 na Debianie jessie oraz wcześniejsze wersje na Ubuntu i Gentoo umożliwiają lokalnym użytkownikom z dostępem do konta użytkownika serwera WWW uzyskanie uprawnień roota poprzez atak symlink na dziennik błędów.

W nginx przed wersją 1.10.1 oraz 1.11.x przed wersją 1.11.1 występuje podatność, która pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez złośliwe żądanie, co prowadzi do dereferencji wskaźnika NULL i awarii procesu roboczego.

Resolver w nginx przed wersją 1.8.1 oraz 1.9.x przed wersją 1.9.10 pozwala zdalnym atakującym na spowodowanie odmowy usługi poprzez nieprawidłowe odwołanie do wskaźnika, co prowadzi do awarii procesu roboczego.

W implementacji SPDY w nginx 1.3.15 przed wersją 1.4.7 oraz 1.5.x przed wersją 1.5.12 występuje przepełnienie bufora oparte na stercie, które umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowane żądanie.

Nginx w wersji 0.7.64 zapisuje dane do pliku dziennika bez oczyszczania znaków niedrukowalnych. Zdalny atakujący może wysłać żądanie HTTP zawierające sekwencję ucieczki terminala, co może pozwolić na modyfikację tytułu okna, a potencjalnie także na wykonanie dowolnych poleceń lub nadpisanie plików.

Przepełnienie bufora na stercie w modułach ngx_http_proxy_v2_module i ngx_http_grpc_module NGINX. Specyficzne warunki konfiguracyjne i duże nagłówki mogą spowodować awarię procesu roboczego NGINX, a w niektórych przypadkach umożliwić wykonanie kodu.

Podatność w module ngx_http_rewrite_module NGINX Plus i NGINX Open Source występuje, gdy dyrektywa rewrite używa wzorca regex z nakładającymi się przechwyceniami PCRE, a ciąg zastępczy odwołuje się do wielu takich przechwyceń. Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

W NGINX Plus i NGINX Open Source wykryto podatność w module ngx_http_rewrite_module. Problem występuje, gdy dyrektywa rewrite jest następowana przez dyrektywy rewrite, if lub set oraz nienazwane przechwytywanie PCRE (np. $1, $2) z ciągiem zastępczym zawierającym znak zapytania (?). Nieuwierzytelniony atakujący może wysłać spreparowane żądania HTTP, powodując przepełnienie bufora sterty w procesie roboczym NGINX, co prowadzi do jego restartu.

Podatność typu use-after-free w resolverze nginx w wersjach od 0.6.18 do 1.8.0 oraz 1.9.x przed 1.9.10 pozwala zdalnym atakującym na spowodowanie awarii procesu roboczego (denial of service) lub potencjalnie innego nieokreślonego wpływu poprzez spreparowaną odpowiedź DNS związaną z przetwarzaniem odpowiedzi CNAME.

NGINX Plus i NGINX Open Source skonfigurowane z ssl_session_cache shared:name:size bez jawnych dyrektyw ssl_session_ticket_key do automatycznej rotacji kluczy biletów sesji SSL pozwalają zdalnemu nieuwierzytelnionemu atakującemu na fałszowanie sesji klienta SSL w nieprzewidywalny sposób. Atakujący może wykorzystać tę podatność do obejścia weryfikacji certyfikatów klienta.