NGINX 新漏洞可导致远程攻击者触发恶意代码

聚焦源代码安全网罗国内外最新资讯编译代码卫士NGINX JavaScript (njs)中存在一个新漏洞CVE-2026-8711可导致未认证远程攻击者触发基于堆的缓冲溢出漏洞可导致拒绝服务且在一定条件下可在 NGINX 工作进程中实现远程代码执行后果。该漏洞与 js_fetch_proxy 指令在结合 NGINX JavaScript 中的 ngx.fetch() 操作时处理客户端控制的变量方式有关。漏洞出现在 ngx_http_js_module 模块中当 js_fetch_proxy 配置了至少一个客户端控制的 NGINX 变量例如 , , 或 .时就会触发。如果某个位置随后调用了一个调用 ngx.fetch() 的 NJS 函数攻击者可以发送精心构造的 HTTP 请求导致 NGINX 工作进程中发生堆缓冲区溢出。NGINX 缓冲区溢出漏洞该漏洞被归类为“CWE‑122基于堆的缓冲区溢出”F5 公司内部跟踪为 NGINX Plus 和 NGINX OSS 的 ID 160。该漏洞主要导致工作进程崩溃并自动重启从而在 NGINX 数据平面上产生拒绝服务条件。在地址空间布局随机化ASLR被禁用或配置不当的系统上该漏洞可能被利用在工作进程上下文中执行任意代码。该漏洞影响 NGINX JavaScript (njs) 0.9.4 至 0.9.8 版本修复版本为 njs 0.9.9。受影响组件是 ngx_http_js_module 模块该模块提供了基于 NJS 的 HTTP 处理指令例如 js_content 和 js_fetch_proxy。典型的易受攻击模式是js_fetch_proxy 使用客户端提供的头部例如 $http_x_user 和 $http_x_password构造代理 URL并且 js_content 指向一个调用 ngx.fetch() 的 NJS 函数例如 main.fetcher。在这种设置下攻击者可以操纵这些头部值破坏 NGINX 工作进程中的堆内存并使它反复崩溃。F5 公司提到该漏洞仅限于数据平面不影响控制平面。F5 公司的其它产品和服务如 BIG‑IP、BIG‑IQ、BIG‑IP Next、F5OS 以及 F5 Distributed Cloud 服务在已评估的版本中均不受影响。强烈建议运行受影响 njs 版本的管理员将 NGINX JavaScript 升级到 0.9.9 或更高版本作为主要修复措施。如环境属于“已知易受攻击版本”一栏所列的范围应迁移到“修复引入版本”一栏或更高版本中列出的版本。如无法立即升级则运维人员应审查配置中 js_fetch_proxy 是否与客户端控制的变量一起使用并对这些模式进行重构或删除同时应确保在所有 NGINX 主机上启用 ASLR增加代码执行的难度。开源卫士试用地址https://oss.qianxin.com/#/login代码卫士试用地址https://sast.qianxin.com/#/login推荐阅读已存在18年的 Nginx 漏洞可导致 RCE 攻击已遭活跃利用的 nginx-ui 漏洞可导致 Nginx 服务器遭完全接管Ingress NGINX 控制器中存在严重漏洞可导致RCEF5修复BIG-IP 和 NGINX Plus 中的多个高危漏洞原文链接https://cybersecuritynews.com/nginx-buffer-overflow-vulnerability/题图Pixabay License本文由奇安信编译不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。奇安信代码卫士 (codesafe)国内首个专注于软件开发安全的产品线。觉得不错就点个 “在看” 或 赞” 吧~