CVE-2026-42530

Nome do Software Vulnerável e Versões Afetadas NGINX Open Source versões 1.31.0 a 1.31.1 NGINX Ingress Controller (versões afetadas não especificadas) NGINX Gateway Fabric (versões afetadas não especificadas) NGINX Instance Manager (versões afetadas não especificadas)

Description Um problema de use-after-free existe no módulo ngx http v3 module. Quando o software é configurado para usar o módulo HTTP/3 QUIC, um invasor remoto não autenticado pode usar uma sessão HTTP/3 especialmente elaborada para reabrir um fluxo de codificador QPACK. Isso pode levar a uma falha no processo worker do NGINX, resultando em uma negação de serviço. Além disso, pode permitir a execução de código arbitrário em sistemas onde a Randomização do Layout do Espaço de Endereçamento (ASLR)—uma técnica de segurança que organiza aleatoriamente as posições do espaço de endereçamento de áreas de dados importantes de um processo—está desativada ou é contornada.

Recommendations Atualize o NGINX Open Source para a versão 1.31.2 ou posterior. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade no NGINX Ingress Controller, NGINX Gateway Fabric e NGINX Instance Manager.