Oliver Peters / 123rf.com
Nginx ist eine weit verbreitete Software für Webserver, Reverse-Proxy- und Load-Balancing-Dienste. Der Hersteller F5 hat nun außerplanmäßige Sicherheitsupdates veröffentlicht, um zwei kritische Schwachstellen in Nginx und weiteren Produkten des Unternehmens zu schließen.
Eine der Lücken betrifft das HTTP/3- beziehungsweise QUIC-Modul und kann zu Abstürzen oder unter bestimmten Voraussetzungen zur Ausführung von Schadcode führen. Betroffen sind die Nginx-Versionen 1.31.0 und 1.31.1; ein Fix steht mit Version 1.31.2 bereit. Als vorübergehende Maßnahme empfiehlt F5, HTTP/3 zu deaktivieren.
Eine weitere Schwachstelle verursacht einen Heap-basierten Pufferüberlauf in Nginx Plus und Nginx Open Source. Auch hier ist unter bestimmten Bedingungen die Ausführung von Schadcode möglich. Neben Nginx sind weitere Produkte wie der Nginx Instance Manager, Nginx Gateway Fabric, der Nginx Ingress Controller sowie mehrere Sicherheitslösungen von F5 betroffen. Administratoren sollten verfügbare Updates zeitnah installieren.
