F5 NGINX: Heap-Buffer-Overflow über alias, rewrite und $request_filename

Zusammenfassung

Ein Heap-Buffer-Overflow im ngx_http_core_module von NGINX Open Source und NGINX Plus kann durch manipulierte HTTP-Anfragen ausgelöst werden. Er tritt nur auf, wenn eine Location die Direktive alias zusammen mit rewrite und einer set- oder return-Direktive kombiniert, die auf $request_filename verweist, oder wenn $request_filename in einem Access-Log-Format verwendet wird. Ein erfolgreicher Angriff führt zum Absturz des NGINX-Worker-Prozesses (Denial of Service); auf Systemen mit deaktiviertem oder geschwächtem ASLR ist möglicherweise auch eine Codeausführung möglich. Eine Authentifizierung ist nicht erforderlich, die verwundbare Konfiguration muss jedoch vorhanden sein.

Betroffen

• NGINX Open Source 1.31.0 bis vor 1.31.7
• NGINX Open Source 0.1.29 bis vor 1.30.6
• NGINX Plus 37.1.0 bis vor 37.1.0.1 und 37.0.0 bis vor 37.0.5.1 (laut F5-Eintrag; ältere Zweige R33 bis R36 betroffen, korrigierte Builds nicht bestätigt)
• Weitere F5- und Distributionspakete: Unbekannt.

Behoben in

• NGINX Open Source 1.31.7 oder neuer
• NGINX Open Source 1.30.6 oder neuer
• NGINX Plus 37.1.0.1 oder neuer und 37.0.5.1 oder neuer (anhand des F5-Advisorys K000162416 prüfen)
• Andere Produkte und Distributionen: Unbekannt.

Umgehung

• Die Direktive alias in einem location-Block vermeiden.
• Die Verwendung der Variable $request_filename vermeiden, auch in Access-Log-Formaten.

Ausnutzung

• Bis 26. Okt. 2026 keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Ein öffentliches Proof-of-Concept-Repository behandelt nur Ursache und Denial of Service; ein RCE wurde nicht veröffentlicht.

Unsere Empfehlung

• Alle öffentlich erreichbaren NGINX-, NGINX-Plus-, Ingress-Controller- und Distributionspakete prüfen und auf die korrigierten Versionen aktualisieren.
• Konfigurationen auf alias in Kombination mit rewrite, set, return oder $request_filename prüfen, einschliesslich log_format.
• Falls sich das Patchen verzögert und die Konfiguration vorhanden ist, die Workaround-Massnahme anwenden.
• Auf Worker-Abstürze achten und das F5-Advisory sowie die NVD auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  FranklinF25/cve-2026-15176

Quellen der Recherche

• F5 Advisory K000162416 my.f5.com
• nginx.org Security Advisories nginx.org
• CSA Singapore Alert AL-2026-150 www.csa.gov.sg
• Red Hat CVE Record access.redhat.com
• OpenCVE CVE-2026-15176 app.opencve.io
• OffSeq Threat Radar radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:34.