NGINX behebt fünf Schwachstellen, darunter TLS-Umgehung und HTTP/3-Injection

NGINX hat am 14. Oktober die Versionen 1.30.6 und 1.31.7 veröffentlicht, um fünf Sicherheitslücken in seiner Webserver-Software zu beheben. Das Update, herausgegeben von F5, dem Unternehmen hinter NGINX, enthält Korrekturen für Speicherfehler (Memory Corruption), ein Problem bei der Fälschung von TLS-Sitzungen sowie eine Daten-Injection-Lücke in HTTP/3. Obwohl keine aktive Ausnutzung gemeldet wurde, sind die Patches kritisch für Administratoren, die selbst gehostete Infrastruktur verwalten.

Was passiert ist

Das Release behebt drei Speicher-Sicherheitsfehler, die zum Absturz von Worker-Prozessen führen oder potenziell Remote Code Execution ermöglichen könnten. Diese Probleme hängen davon ab, ob bestimmte Konfigurationsdirektiven vorhanden sind, wie etwa die Verwendung von alias mit Rewrite-Regeln, Regex-Maps oder asynchroner I/O mit Server Side Includes. F5 stufte diese Speicherfehler als kritisch ein, mit einem CVSS v4.0 Score von 9.2, und wies darauf hin, dass sie zwar präzise Bedingungen zur Ausnutzung erfordern, aber bei Aktivierung ein erhebliches Risiko darstellen.

Eine vierte Schwachstelle betrifft die automatische Rotation von TLS-Sitzungsticket-Schlüsseln. In Konfigurationen, die einen gemeinsamen Sitzungscache ohne explizite Schlüsseldateien verwenden, versagte NGINX darin, alle Schlüssel-Slots während der Rotation ordnungsgemäß zu initialisieren. Dieser Fehler könnte es einem Angreifer ermöglichen, eine TLS-Sitzung zu fälschen und damit möglicherweise die Client-Zertifikatsüberprüfung zu umgehen. F5 beschrieb diese Fälschung als nicht-deterministisch und außerhalb der direkten Kontrolle des Angreifers, stellt aber weiterhin ein ernstes Risiko für Authentifizierungs-Umgehungen dar. Der fünfte Fehler betrifft HTTP/3-Implementierungen und ermöglicht das Einschleusen zusätzlicher Bytes in proxyierte Anfragen, was Body-Size-Limits überschreiten oder Backend-Daten korrumpieren kann.

Wichtige Details

• CVE-2026-15176 ist ein Heap-Overflow, ausgelöst durch alias- und rewrite-Direktiven, der Versionen von 0.1.29 bis 1.31.6 betrifft.
• CVE-2026-93479 ist ein Heap-Overflow bei der Verarbeitung von Regex-Maps, vorhanden in den Versionen 1.30.0 bis 1.30.5 sowie 1.31.2 bis 1.31.6.
• CVE-2026-97205 ist ein Use-After-Free-Fehler im Zusammenhang mit asynchronem I/O und SSI-Seiten, der Versionen von 0.8.11 bis 1.31.6 betrifft.
• CVE-2026-95101 ermöglicht es HTTP/3-Clients, zusätzliche Bytes in proxyierte Anfragen einzuschleusen, und betrifft Versionen von 1.25.0 bis 1.31.6.
• CVE-2026-97629 ermöglicht gefälschte TLS-Sitzungen, die Client-Zertifikatsprüfungen umgehen können, und betrifft Versionen von 1.23.2 bis 1.31.6.
• Keine der fünf Schwachstellen war zum 15. Oktober im Known Exploited Vulnerabilities-Katalog der CISA aufgeführt.

Hintergrund

NGINX ist ein leistungsstarker Webserver und Reverse Proxy, der weit verbreitet für selbst gehostete Anwendungen und Unternehmensinfrastrukturen eingesetzt wird. Er übernimmt die TLS-Terminierung, Lastverteilung und das Ausliefern statischer Dateien. Viele Administratoren verlassen sich auf Standard- oder empfohlene Konfigurationen, wie etwa gemeinsame SSL-Sitzungscaches, um die Leistung zu verbessern, indem Clients Sitzungen ohne vollständige Handshakes wieder aufnehmen können. Allerdings können diese Optimierungen komplexe Probleme beim State Management einführen, wie der aktuelle Bug bei der TLS-Schlüsselrotation zeigt.

HTTP/3 ist die neueste Version des HTTP-Protokolls, aufgebaut auf QUIC statt TCP. Es bietet schnellere Verbindungsherstellung und verbesserte Leistung über verlustbehaftete Netzwerke. Da HTTP/3 in der breiten Anwendung noch relativ neu ist, reift die Implementierung in NGINX weiter. Der aktuelle Fehler verdeutlicht, wie Parser-Logikfehler in neuen Protokollen zu unerwartetem Datenverhalten führen können, beispielsweise das Übergeben unbeabsichtigter Bytes an Backend-Dienste.

Warum es wichtig ist

Für Teams, die ihre eigene Software betreiben, unterstreichen diese Schwachstellen die Risiken, die mit der Abhängigkeit von Standardkonfigurationen verbunden sind. Die TLS-Umgehungslücke existiert beispielsweise genau in der empfohlenen Setup-Konfiguration mit gemeinsamem Sitzungscache aus der NGINX-Dokumentation. Administratoren, die diese Beispiele kopierten, ohne den zugrunde liegenden Mechanismus der Schlüsselrotation zu verstehen, haben ihre Systeme unwissentlich Authentifizierungs-Umgehungen ausgesetzt. Dies betont die Notwendigkeit regelmäßiger Konfigurationsaudits, nicht nur von Software-Updates.

Die Memory-Corruption-Bugs stellen auch ein Stabilitätsrisiko dar. Ein abgestürzter Worker-Prozess kann zu Dienstunterbrechungen führen, während Remote Code Execution den gesamten Host kompromittieren könnte. Da NGINX oft am Rand des Netzwerks sitzt und untrusted Traffic ausgesetzt ist, ist jede Schwachstelle, die Code-Ausführung ermöglicht, besonders gefährlich. Teams müssen sicherstellen, dass sie unterstützte Branches nutzen, da ältere Versionen wie 1.28 diese Fixes nicht erhalten, es sei denn, sie werden vom jeweiligen Distribution-Paketanbieter nachträglich integriert (Backporting).

Was Sie tun können

• Aktualisieren Sie sofort auf NGINX 1.30.6 im Stable-Branch oder 1.31.7 im Mainline-Branch.
• Wenn Sie kein Upgrade durchführen können, deaktivieren Sie die spezifischen Funktionen, die jeden Fehler auslösen, wie das Abschalten von aio oder das Entfernen gemeinsamer SSL-Sitzungscaches.
• Führen Sie nginx -T aus, um Ihre laufende Konfiguration auf riskante Direktiven wie alias mit rewrite oder shared ssl_session_cache zu überprüfen.
• Prüfen Sie, ob Ihre Linux-Distribution die Patches nachträglich integriert hat (Backported), wenn Sie sich auf Paketmanager-Updates verlassen und nicht auf Upstream-Binaries.
• Überprüfen Sie Ihre HTTP/3-Einstellungen und erwägen Sie, proxy_request_buffering zu deaktivieren, wenn Sie kein Upgrade durchführen können, um die Injection-Lücke zu entschärfen.
• Beobachten Sie die F5-Advisories für NGINX Plus und verwandte Produkte, da für einige möglicherweise noch keine korrigierten Builds verfügbar sind.