NGINX: Gefälschte SSL-Sitzungen ermöglichen Umgehung der Client-Zertifikatsprüfung

Zusammenfassung

NGINX Plus und NGINX Open Source sind betroffen, wenn ssl_session_cache shared konfiguriert ist, ohne eine explizite Datei ssl_session_ticket_key, sodass Session-Ticket-Schlüssel automatisch rotiert werden. Ein entfernter, nicht authentifizierter Angreifer kann Client-SSL-Sitzungen auf eine nicht deterministische Weise fälschen, die er nicht kontrollieren kann. Damit kann die Prüfung von Client-Zertifikaten umgangen werden, und Ressourcen oder Informationen können unbeabsichtigten Akteuren offengelegt werden. Das Problem betrifft nur die Datenebene.

Betroffen

• NGINX Open Source 1.30.0 bis vor 1.30.6
• NGINX Open Source 1.31.0 bis vor 1.31.7
• NGINX Open Source ab 1.23.3, von F5 wird keine korrigierte Version genannt
• NGINX Plus 37.0.0 bis vor 37.0.5.1
• NGINX Plus 37.1.0 bis vor 37.1.0.1
• NGINX Plus R33 bis R36, von F5 wird keine korrigierte Version genannt
• Versionen nach dem Ende des technischen Supports werden nicht bewertet

Behoben in

• NGINX Open Source 1.30.6 und 1.31.7
• NGINX Plus 37.0.5.1 und 37.1.0.1
• Andere auf nginx basierende Builds: Update des jeweiligen Herstellers anwenden

Umgehung

• Die automatische Rotation von SSL-Session-Ticket-Schlüsseln nicht aktivieren.
• Die Direktive ssl_session_cache shared entfernen oder statische Schlüssel aus einer Datei mit ssl_session_ticket_key laden.
• Server mit ssl_session_tickets off sind nicht betroffen.

Ausnutzung

• Der Finder hat einen öffentlichen Proof of Concept veröffentlicht.
• Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• CISA SSVC: Ausnutzung none, nicht automatisierbar, teilweise technische Auswirkung.
• Der EPSS-Wert ist sehr niedrig (0.00175).

Unsere Empfehlung

• Alle NGINX-Instanzen identifizieren, einschliesslich Appliances und Ingress-Controller, die auf nginx basieren.
• Auf eine oben aufgeführte korrigierte Version aktualisieren oder den Build des Herstellers einspielen.
• Bis zum Patch prüfen, ob ssl_session_cache shared ohne ssl_session_ticket_key gesetzt ist (zum Beispiel mit nginx -T), und einen Workaround anwenden.
• Server priorisieren, die Client-Zertifikate (mTLS) zur Authentifizierung verwenden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  PhiNode-Labs/nginx-cve-2026-97629

Quellen der Recherche

• F5 advisory K000162606 my.f5.com
• OSV/Bitnami entry BIT-nginx-2026-97629 osv.dev
• HeroDevs NGINX release notes docs.herodevs.com
• OpenBSD ports update to nginx 1.30.6 www.mail-archive.com
• Red Hat RHSA-2026:83427 via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 13:45.