Cảnh báo lỗ hổng nghiêm trọng trong NGINX: CVE-2026-97205, CVE-2026-93479 và CVE-2026-15176

• Phạm vi ảnh hưởng: Các lỗ hổng CVE-2026-97205, CVE-2026-93479 và CVE-2026-15176 tác động đến cả NGINX Plus và NGINX Open Source.
• Mức độ rủi ro: Đánh giá CVSS v3.1 ở mức 8.1 (High) và CVSS v4.0 ở mức 9.2 (Critical).
• Cơ chế tấn công: Kẻ tấn công có thể gây treo tiến trình worker hoặc thực thi mã từ xa nếu ASLR bị vô hiệu hóa.
• Khuyến nghị: Quản trị viên cần cập nhật ngay lên các phiên bản đã vá lỗi như 1.31.7, 1.30.6 hoặc 37.0.5.1.

F5 Networks vừa chính thức phát đi cảnh báo về ba lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến NGINX Plus và NGINX Open Source. Các lỗ hổng này cho phép kẻ tấn công từ xa, không cần xác thực, có thể gây ra tình trạng từ chối dịch vụ (DoS) bằng cách làm treo các tiến trình worker thông qua việc gửi các yêu cầu HTTP đã được chế tạo đặc biệt. Trong một số kịch bản cụ thể, nếu cơ chế Address Space Layout Randomization (ASLR) bị vô hiệu hóa hoặc bị vượt qua, kẻ tấn công có khả năng thực thi mã từ xa (RCE).

Chi tiết kỹ thuật về các lỗ hổng CVE

Các lỗ hổng này tập trung vào data plane của NGINX, nơi xử lý lưu lượng người dùng thực tế. Dưới đây là bảng tổng hợp các mã định danh và tác động kỹ thuật:

Phân tích sâu về CVE-2026-97205

Lỗ hổng này là một lỗi Use-after-free nằm trong ngx_http_core_module. Nó được kích hoạt khi tính năng Asynchronous file I/O (AIO) được bật và NGINX xử lý một trang Server Side Includes (SSI) chứa lệnh include virtual. Tiến trình worker có thể tiếp tục truy cập vào vùng nhớ đã được giải phóng, dẫn đến hỏng bộ nhớ hoặc khiến tiến trình bị dừng đột ngột.

Phân tích sâu về CVE-2026-93479 và CVE-2026-15176

Cả hai lỗ hổng này đều là lỗi Heap buffer overflow. CVE-2026-93479 phát sinh khi chỉ thị root hoặc định dạng access-log sử dụng các biến capture của regex trước khi biến đầu ra của map được xử lý. Trong khi đó, CVE-2026-15176 ảnh hưởng đến các khối location kết hợp alias với rewrite, hoặc khi $request_filename xuất hiện trong log_format. Kẻ tấn công có thể khai thác các điều kiện này để ghi đè dữ liệu ngoài vùng nhớ được cấp phát.

Hướng dẫn khắc phục và Hardening hệ thống

Việc cập nhật phần mềm là biện pháp phòng thủ tối ưu nhất. Quản trị viên cần kiểm tra phiên bản hiện tại và nâng cấp lên các bản phát hành an toàn. Đối với NGINX Open Source, hãy nâng cấp lên 1.31.7 hoặc 1.30.6. Đối với NGINX Plus, hãy chuyển sang phiên bản 37.0.5.1 hoặc 37.1.0.1.

Trong trường hợp chưa thể áp dụng bản vá ngay lập tức, các đội ngũ vận hành có thể thực hiện các biện pháp giảm thiểu tạm thời thông qua cấu hình:

• Đối với CVE-2026-97205: Vô hiệu hóa AIO hoặc SSI trong cấu hình NGINX.
• Đối với CVE-2026-93479: Thay thế các regex capture không tên bằng các capture có tên và giới hạn phạm vi sử dụng.
• Đối với CVE-2026-15176: Tránh sử dụng alias bên trong khối location và hạn chế sử dụng biến $request_filename.

Trước khi áp dụng bất kỳ thay đổi nào, hãy sử dụng các lệnh sau để kiểm tra cấu hình:

# Kiểm tra toàn bộ cấu hình đang hoạt động bao gồm các file được include
nginx -T
# Kiểm tra cú pháp cấu hình trước khi reload
nginx -t

⚠️ Cảnh báo quan trọng: Việc chỉ kiểm tra phiên bản phần mềm là chưa đủ. Quản trị viên cần rà soát cấu hình thực tế vì lỗ hổng chỉ có thể bị khai thác nếu các chỉ thị cấu hình bị ảnh hưởng đang được kích hoạt. Hãy tham khảo thêm thông tin tại National Vulnerability Database để biết chi tiết về các vector tấn công.