Zum Inhalt springen
Cyberverantwortung
← Zurück zum Cyberlagebild
Zuletzt aktualisiert 10.09.2026 18:30
CVE-2026-42055

CVE-2026-42055

CVSS 9.21 Quelle

Beschreibung

NGINX Plus und NGINX Open Source haben eine Sicherheitslücke in den Modulen ngx http proxy v2 module und ngx http grpc module. Diese Sicherheitsanfälligkeit besteht, wenn die Direktiven proxy http version to 2 oder grpc pass zum Proxy des HTTP/2-Datenverkehrs verwendet werden, die Direktive ignore invalid headers auf deaktiviert ist und die Direktive large client header buffers größer als 2 Megabyte ist. Ein entfernter, nicht authentifizierter angreifer könnte zusammen mit bedingungen, die außerhalb seiner kontrolle liegen, große header senden, während er eine vorgelagerte anfrage erstellt. Dies kann dazu führen, dass ein Heap-basierter Pufferüberlauf im NGINX-Worker-Prozess zu einem Neustart führt. Darüber hinaus können Angreifer Code auf Systemen mit deaktivierter Adressraumlayout-Randomisierung (ASLR) ausführen oder wenn der Angreifer ASLR umgehen kann. Hinweis: Softwareversionen, die End of Technical Support (EoTS) erreicht haben, werden nicht ausgewertet.

HerstellerMehrere Hersteller
Produktdos, nginx gateway fabric, nginx ingress controller, nginx instance manager, nginx open source, nginx plus, waf, discovery, hardened images, update infrastructure, enterprise linux
ProduktfamilieKeine Angaben
Betroffene Versionen>=4.3.0 <=4.7.0, 4.9.0, >=1.3.0 <=1.6.2, >=2.0.0 <=2.6.3, >=3.5.0 <=3.7.2, >=4.0.0 <=4.0.1, >=5.0.0 <=5.5.0, >=2.17.0 <=2.22.0, >=1.0.0 <=1.30.2, >=1.31.0 <=1.31.1, >=37.0.0.1 <37.0.2.1, >=r33 <r36, r36, >=4.10.0 <=4.16.0, >=5.2.0 <=5.8.0, >=5.9.0 <=5.13.1, >=5.0 <5.2, 8.0, 9.0, 10.0
Behobene VersionenKeine Angaben
Nachvollziehbarkeit

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

NVD · Veröffentlichung öffnen ↗
KI-gestützt · ohne Gewährleistung

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

PrioritätRot
EinordnungSofort behandeln: kritisch oder aktiv ausgenutzt/KEV-relevant.

Empfohlene Schritte

  • Betroffene Systeme identifizieren: Mehrere Hersteller dos, nginx gateway fabric, nginx ingress controller, nginx instance manager, nginx open source, nginx plus, waf, discovery, hardened images, update infrastructure, enterprise linux.
  • Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
  • Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
  • Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

  • Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
  • WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
  • Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
  • Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.
NVDNVDMITRE CVECISA KEV SucheWeb-Recherche