Débordement de tampon et exécution de code à distance affectant Nginx Open Source et Nginx Plus
Une vulnérabilité affectant Nginx permettrait à un attaquant non authentifié de provoquer un déni de service ou d'exécuter du code à distance sur les systèmes affectés.
Description
Contexte technique et détails de la vulnérabilité
Nginx est un serveur web haute performance, également proxy inverse et répartiteur de charge, largement utilisé pour le déploiement et la sécurisation des applications web. Il est disponible en version communautaire (Nginx Open Source) et en édition commerciale (Nginx Plus). Cette solution est affectée par une vulnérabilité libellée CVE-2026-9256, résultant d'un traitement inadapté des captures imbriquées d'expressions régulières compatibles Perl (PCRE) dans la directive rewrite du module ngx_http_rewrite_module. Son exploitation permettrait à un acteur malveillant non authentifié de provoquer un débordement de tampon dans le tas du processus worker de NGINX, entraînant son redémarrage. Si l'ASLR est désactivé ou contournable, cette faille permet également l'exécution de code arbitraire. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Déni de service (DoS) ;
- Exécution de code arbitraire à distance ;
- Atteinte à l'intégrité du système ;
- Atteinte à la confidentialité des données.
Systèmes affectés
Produits, composants et versions concernés
- Nginx Open Source versions 1.31.0, 1.0.0 à 1.30.1 et 0.1.17 à 0.9.7 ;
- Nginx Plus versions 37.0.0 et R32 à R36.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour Nginx (Open Source et Plus) vers la dernière version stable de la branche utilisée ;
- Mettre à jour les autres produits reposant sur des composants Nginx vulnérables dès la publication de leurs correctifs par F5 ;
- En cas d'impossibilité de mise à jour immédiate, appliquer la mesure d'atténuation temporaire décrite dans la première référence.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.