NGINX Fixes 5 Flaws, Including Possible RCE and a TLS Bug That May Skip Client-Cert Checks
The Hacker News · 15 oct, 14:58
NGINX lanzó las versiones 1.30.6 y 1.31.7 el 14 de octubre para reparar cinco vulnerabilidades, tres de ellas con posible ejecución remota de código bajo configuraciones específicas. Un fallo en TLS podría permitir falsificar sesiones y eludir verificación de certificados de cliente, mientras que otro en HTTP/3 permite inyectar bytes adicionales en solicitudes proxificadas. Ninguna está siendo explotada activamente ni figura en el catálogo CISA KEV.
Las tres vulnerabilidades de memoria (CVE-2026-15176, CVE-2026-93479 y CVE-2026-97205) requieren configuraciones específicas: alias con rewrite que lee $request_filename; regex map con capturas referenciadas antes de la salida; o AIO habilitado con páginas SSI con comandos include virtual. El fallo TLS (CVE-2026-97629) afecta a servidores con shared session cache habilitado sin carga manual de claves de ticket: la rotación automática solo copiaba dos de tres slots de clave, dejando el tercero sin inicializar, permitiendo falsificar sesiones de forma no determinista para eludir verificación de certificados de cliente. El fallo HTTP/3 (CVE-2026-95101) ocurre cuando un parser reutiliza el mismo campo para la longitud de fotogramas desconocidos y bytes DATA de cuerpo de solicitud, inyectando bytes adicionales en solicitudes proxificadas.
F5 califica tres fallos como CVSS 9.2 Crítico, el TLS como 8.3 y HTTP/3 como 6.9, aunque NGINX los clasifica todos como medio. El fallo del mapa (CVE-2026-93479) surgió después del parche de julio para CVE-2026-42533: un cambio de protección de búfer dejó datos derramarse en un área reservada, que luego se usaba para dimensionar la cadena final. Investigador Stan Shaw ya cuestionó en julio que cambiar a capturas nombradas dejaba una ruta más estrecha abierta.
Puntos clave
- CVE-2026-15176 (alias+rewrite): afecta 0.1.29 a 1.31.6, solución: evitar alias o $request_filename
- CVE-2026-93479 (regex map): afecta 1.30.0-1.30.5 y 1.31.2-1.31.6, derivado del parche de julio
- CVE-2026-97205 (AIO+SSI): afecta 0.8.11 a 1.31.6, mitigación: desactivar AIO o no servir SSI
- CVE-2026-95101 (HTTP/3): afecta 1.25.0 a 1.31.6, solución: establecer proxy_request_buffering off
- CVE-2026-97629 (TLS session): afecta 1.23.2 a 1.31.6, mitigación: cargar claves o desactivar shared cache