F5 NGINX: Use-after-free in ngx_http_core_module (SSI mit AIO)

Zusammenfassung

NGINX Open Source und NGINX Plus enthalten eine Use-after-free-Schwachstelle (CWE-416) im ngx_http_core_module. Sie tritt nur auf, wenn asynchrone Dateiein- und -ausgabe (aio) aktiviert ist und eine Server Side Includes (SSI)-Seite "include virtual" verwendet. Ein Angreifer aus dem Netz kann Speicherbeschädigung oder einen Absturz eines Worker-Prozesses auslösen; Codeausführung ist möglich, wenn ASLR deaktiviert ist oder umgangen werden kann. F5 gibt an, dass keine Control-Plane-Exposition besteht.

Betroffen

• NGINX Open Source 1.30.0 bis vor 1.30.6
• NGINX Open Source 1.31.0 bis vor 1.31.7
• NGINX Plus 37.0.0 bis vor 37.0.5.1
• NGINX Plus 37.1.0 bis vor 37.1.0.1
• NGINX Plus R33 bis R36: betroffen, fixe Version im CVE-Eintrag nicht aufgeführt (Standard: unbekannt)
• Versionen im End-of-Technical-Support werden nicht bewertet; Zweige wie 1.28 haben möglicherweise keinen Fix.

Behoben in

• NGINX Open Source 1.30.6 und 1.31.7 (gemäss den Bereichsangaben im CVE-Eintrag)
• NGINX Plus 37.0.5.1 und 37.1.0.1 (gemäss den Bereichsangaben im CVE-Eintrag; widersprüchliche Sekundärquellen, mit F5 K000162608 bestätigen)
• Distributionspakete: abhängig vom Backport des Herstellers; Sicherheitshinweis der Distribution prüfen.

Umgehung

• Die Direktive "aio" deaktivieren oder keine SSI-Seiten ausliefern (Empfehlung von F5).
• NGINX nach der Änderung neu starten.
• Prüfen, dass ASLR auf NGINX-Hosts aktiviert ist. Dies reduziert das Risiko einer Codeausführung, behebt aber das Absturzrisiko nicht.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• Ein öffentlicher Proof-of-Concept wird von einem Tracker behauptet, ist aber nicht verifiziert; keinen nicht vertrauenswürdigen Code ausführen.

Unsere Empfehlung

• Alle NGINX-Instanzen, Versionen und Paketbuilds inventarisieren, einschliesslich NGINX Plus.
• Prüfen, ob "aio" und SSI aktiviert sind (zum Beispiel mit nginx -T | grep -Ei 'aio|ssi'); sind beide aktiviert, sofort eines davon deaktivieren.
• Auf den fixen Build für den eigenen Zweig bzw. die Distribution patchen; NGINX-Plus-Builds mit F5 K000162608 bestätigen.
• Konfiguration nach Änderungen testen und Worker-Abstürze im Error-Log überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  suominen/CVE-2026-97205

Quellen der Recherche

• F5 security advisory K000162608 my.f5.com
• Red Hat CVE-2026-97205 access.redhat.com
• OpenCVE CVE-2026-97205 app.opencve.io
• Ionix threat center CVE-2026-97205 www.ionix.io
• Offseq threat radar CVE-2026-97205 radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 04:33.