Multiples vulnérabilités affectant NGINX
Plusieurs vulnérabilités ont été découvertes dans NGINX. Elles permettraient à un acteur malveillant non authentifié d'exécuter du code arbitraire à distance et de provoquer une interruption de service.
Description
Contexte technique et détails de la vulnérabilité
NGINX est un serveur web et proxy inverse open source, également utilisé comme répartiteur de charge et cache HTTP, largement déployé pour l'hébergement de sites web et la diffusion d'applications. Cette solution est affectée par plusieurs vulnérabilités libellées comme suit : CVE-2026-42530 : vulnérabilité due à une utilisation après libération (use-after-free) dans le module QUIC HTTP/3 (ngx_http_v3_module). Son exploitation permettrait à un attaquant non authentifié de provoquer le redémarrage du processus worker et d'exécuter du code arbitraire à distance. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS v3.1. CVE-2026-42055 : vulnérabilité résultant d'un débordement de tampon dans le tas au sein des modules ngx_http_proxy_v2_module et ngx_http_grpc_module lors du relais du trafic HTTP/2. Son exploitation permettrait à un acteur malveillant non authentifié de provoquer le redémarrage du processus worker et d'exécuter du code arbitraire à distance. Elle est classée haute avec un score de sévérité de 8.1 selon le CVSS v3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code arbitraire à distance ;
- Compromission du serveur web ;
- Atteinte à la confidentialité, à l'intégrité et à la disponibilité des données.
Systèmes affectés
Produits, composants et versions concernés
- CVE-2026-42530 : NGINX Open Source versions 1.31.0 à 1.31.1 ;
- CVE-2026-42055 : NGINX Plus et NGINX Open Source versions 1.13.10 à 1.31.1.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour NGINX (Open Source et Plus) vers la dernière version stable corrigée de la branche déployée ;
- Restreindre ou désactiver les modules HTTP/3 (QUIC) et HTTP/2 s'ils ne sont pas nécessaires ;
- Examiner les journaux afin de détecter toute activité anormale ou tout redémarrage inattendu des processus worker.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.