PT-2026-50439
CVE-2026-42530
·
تاريخ النشر
2026-06-17
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات NGINX مفتوحة المصدر من 1.31.0 إلى 1.31.1
NGINX Ingress Controller (لم يتم تحديد الإصدارات المتأثرة)
NGINX Gateway Fabric (لم يتم تحديد الإصدارات المتأثرة)
NGINX Instance Manager (لم يتم تحديد الإصدارات المتأثرة)
الوصف
توجد مشكلة «استخدام بعد التحرير» (use-after-free) في الوحدة النمطية
ngx http v3 module. عندما يتم تكوين البرنامج لاستخدام وحدة HTTP/3 QUIC، يمكن لمهاجم بعيد غير مصدق عليه استخدام جلسة HTTP/3 مصممة خصيصًا لإعادة فتح دفق مشفر QPACK. وقد يؤدي ذلك إلى تعطل عملية NGINX العاملة، مما ينتج عنه رفض الخدمة. علاوة على ذلك، قد يسمح ذلك بتنفيذ تعليمات برمجية تعسفية على الأنظمة التي يتم فيها تعطيل أو تجاوز تقنية «توزيع عشوائي لمساحة العناوين» (ASLR) — وهي تقنية أمنية ترتب عشوائياً مواقع مساحة العناوين لمناطق البيانات الرئيسية في العملية.التوصيات
قم بتحديث NGINX Open Source إلى الإصدار 1.31.2 أو أحدث.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية في NGINX Ingress Controller وNGINX Gateway Fabric وNGINX Instance Manager.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾