F5 patcht NGINX-Speicherfehler mit CVSS 9.2 außerplanmäßig Kritische NGINX-Lücken in HTTP/3- und HTTP/2-Modulen

Anbieter zum Thema

Aagon GmbH

Fujitsu Technology Solutions GmbH

F5 schließt zwei kritische Speicherfehler im NGINX-Webserver, die Angreifern ohne Anmeldung Denial of Service und Codeausführung ermöglichen. Betroffen sind HTTP/3-Verarbeitung und HTTP/2-Proxying, bewertet mit CVSS von 9.2. Die außerplanmäßigen Patches kommen kurz nach NGINX Rift, dessen Rewrite-Lücke binnen Tagen nach Offenlegung ausgenutzt wurde.

F5 reagiert mit einer Out-of-Band-Meldung vom 17.06.2026 auf zwei kritische Schwachstellen im NGINX-Webserver und bewertet beide nach CVSS 4.0 mit 9.2. Verwundbar sind die HTTP/3-Verarbeitung sowie das Proxy- und gRPC-Modul. Beide Fehler lassen sich über das Netz und ohne Authentifizierung anstoßen, der Worker-Prozess startet neu, unter bestimmten Bedingungen führt der Angriff bis zur Codeausführung . Die aktuellen Patches folgen auf den Speicherfehler im Rewrite-Modul, der bereits Anfang Juni Webserver weltweit bedroht hat.

Kritische Schwachstelle im NGINX-Rewrite-Modul

NGINX-Lücke von 2008 gefährdet Webserver weltweit

Use-after-free im HTTP/3-Modul

Die erste Lücke CVE-2026-42530 sitzt im ngx_http_v3_module und greift nur bei aktiviertem HTTP/3 über QUIC. Ein Angreifer baut eine präparierte HTTP/3-Sitzung auf und öffnet den QPACK-Encoder-Stream erneut. Der Zugriff auf bereits freigegebenen Speicher (Use-after-free) lässt den Worker-Prozess neu starten und erzeugt eine Denial-of-Service-Lage. Bei ab­ge­schal­te­tem oder umgangenem ASLR (Address Space Layout Randomization) reicht der Fehler bis zur Codeausführung. F5 stuft das Problem als kritisch ein, das NGINX-Projekt vergibt intern die Einstufung „major“. Sicherheitsforscher führen die Schwachstelle auch unter der Bezeichnung nginx-quicburst. Verwundbar sind NGINX Open Source 1.31.0 und 1.31.1, die Korrektur liefert 1.31.2. HTTP/3 kommt vorrangig an Edge-, CDN- und Cloud-Zugängen zum Einsatz, was internetnahe Installationen in den Vordergrund rückt.

CVE-2026-49975 erschöpft Webserver-RAM mit einem Byte

HTTP/2 Bomb crasht Webserver in Sekunden

Heap-Überlauf im Proxy- und gRPC-Modul

Die zweite Schwachstelle CVE-2026-42055 betrifft das ngx_http_proxy_v2_module und das ngx_http_grpc_module. Drei Bedingungen müssen zusammenkommen. Eine Location nutzt grpc_pass oder proxy_http_version 2 für HTTP/2-Proxying, die Direktive ignore_invalid_headers steht auf off und large_client_header_buffers überschreitet 2 MB. Unter dieser Konstellation schreibt der Worker-Prozess über den reservierten Heap-Speicher hinaus, ein remote aus­lös­barer Heap-Überlauf mit anschließendem Neustart. F5 bewertet auch diesen Fehler auf der CVSS-4.0-Skala mit 9.2, das NGINX-Projekt vergibt intern die niedrigere Stufe „medium“. Verwundbar sind die Versionen 1.13.10 bis 1.31.1, behoben in 1.31.2 und 1.30.3.

Betroffene Produkte und Sofortmaßnahmen

Die Fehler stecken nicht nur in NGINX Open Source. F5 liefert Updates für NGINX Plus, NGINX Gateway Fabric, NGINX Ingress Controller, NGINX Instance Manager sowie die App-Protect-Produkte und F5 WAF for NGINX. Lässt sich kein Update sofort einspielen, greifen zwei Behelfs­lösungen. Gegen CVE-2026-42530 hilft das Abschalten von HTTP/3 durch Entfernen des Parameters quic aus allen listen-Direktiven. Gegen CVE-2026-42055 hilft das Entfernen der Direktive ignore_invalid_headers off oder eine Reduktion von large_client_header_buffers unter 2 MB. Im selben Release korrigiert F5 zwei hochstufige Konfigurations-Injektionen in NGINX Gateway Fabric (CVE-2026-11311 und CVE-2026-50107) in Version 2.6.4 und eine geringfügige Lücke im Charset-Modul. Hinweise auf aktive Angriffe liegen zum Zeitpunkt der Offenlegung nicht vor.

Tool-Tipp 36 Nikto

Mit Nikto Sicherheitslücken in Webservern aufdecken

Fazit

Die Out-of-Band-Auslieferung außerhalb des Quartalsrhythmus markiert den hohen Stellenwert beider Speicherfehler. Beide Angriffswege hängen an modernen Protokoll­funk­ti­o­nen, die viele Reverse-Proxys, API-Gateways und Kubernetes-Ingress-Knoten am Internetrand aktiviert haben. Der Vorfall um NGINX Rift (CVE-2026-42945) zeigt den knappen Abstand zwischen Veröffentlichung und Missbrauch, denn die 18 Jahre alte Rewrite-Lücke kam binnen Tagen nach der Offenlegung unter aktive Ausnutzung.

(ID:50878410)