2026-3448: nginx: Mehrere Schwachstellen ermöglichen u. a. Denial-of-Service-Angriffe

Historie:

Version 1 (2026-07-15 17:49): Neues Advisory
Version 2 (2026-07-21 07:39): Für Ubuntu 22.04 LTS, 24.04 LTS und 26.04 LTS stehen Sicherheitsupdates für 'nginx' bereit, um die Schwachstellen zu beheben. Da mit den mittels der Meldung USN-8563-1 veröffentlichten Sicherheitsupdates allerdings eine Regression eingeführt wurde, durch die Probleme mit externen Modulen auftreten können, wurden über die Meldung USN-8563-2 neue Pakete verteilt, die den Fix für die Schwachstelle CVE-2026-42533 zurücknehmen. Für Fedora 43 stehen die Pakete 'nginx-1.30.4-1', 'nginx-mod-brotli-1.0.0~rc-13', 'nginx-mod-fancyindex-0.6.0-8', 'nginx-mod-headers-more-0.40-3', 'nginx-mod-modsecurity-1.0.4-16', 'nginx-mod-naxsi-1.6-21' und 'nginx-mod-vts-0.2.4-13' im Status 'testing' zur Behebung der Schwachstellen zur Verfügung. Ebenfalls im Status 'testing' befinden sich die Sicherheitsupdates für Fedora 44, die in Form der Pakete 'nginx-1.30.4-1', 'nginx-mod-brotli-1.0.0~rc-13', 'nginx-mod-fancyindex-0.6.0-8', 'nginx-mod-headers-more-0.40-3', 'nginx-mod-js-challenge-0^20230517.gitda6852d-11', 'nginx-mod-modsecurity-1.0.4-16', 'nginx-mod-naxsi-1.6-21' und 'nginx-mod-vts-0.2.4-13' bereitstehen.
Version 3 (2026-08-19 16:23): Für Ubuntu 22.04 LTS, 24.04 LTS und 26.04 LTS stehen neue Sicherheitsupdates für 'nginx' bereit, um die Schwachstelle auf bessere Weise zu beheben.
Version 4 (2026-08-20 07:35): Die mittels der Meldung USN-8563-1 jüngstens veröffentlichten "besseren" Sicherheitsupdates für die Schwachstelle CVE-2026-42533 haben in bestimmten Umgebungen zu einer Regression geführt, weshalb neue Pakete verteilt werden, die den Fix erneut für die Schwachstelle CVE-2026-42533 zurücknehmen.

Betroffene Software

Server

Betroffene Plattformen

Linux

Beschreibung:

Ein Angreifer kann mehrere Schwachstellen aus der Ferne ausnutzen, um beliebigen Programmcode auszuführen, Denial-of-Service (DoS)-Angriffe durchzuführen, Daten zu manipulieren und Informationen auszuspähen.

Für die Ausnutzung der Schwachstellen sind keine Privilegien erforderlich.

Der Hersteller informiert über die Schwachstellen und stellt die NGINX Open Source Versionen 1.30.4 und 1.31.3 als Sicherheitsupdates bereit, um diese zu beheben.

Schwachstellen:

CVE-2026-42533

Schwachstelle in nginx ermöglicht u. a. Ausführen beliebigen Programmcodes

CVE-2026-56434

Schwachstelle in nginx ermöglicht u. a. Denial-of-Service-Angriff

CVE-2026-60005