F5 lansează patch-uri de urgență pentru vulnerabilități critice în NGINX

Ce face F5 pentru a preveni probleme similare în viitor?

F5 Networks a lansat patch-uri de urgență, în afara ciclului obișnuit de actualizări, pentru trei vulnerabilităţi critice descoperite în software-ul NGINX. Flaw-urile pot permite atacatorilor să blocheze sistemele sau să execute cod arbitrary — fără a avea nevoie de autentificare.

Actualizările au fost publicate această săptămână, după ce echipa de securitate internă a identificat problemele în versiunile largamente utilizate ale serverului web și al proxy-ului invers. NGINX rulează site-urile și aplicaţiile cu trafic ridicat din întreaga lume, deci orice slabiciune aici are un impact mare pe întreprinderi care se bazează pe infrastructura F5 de livrare și securitate a aplicaţiilor.

Patch-urile rezolvă probleme specifice de gestionare a memoriei și de validare a intrărilor, identificate în timpul unor audituri de cod recente. Cele trei vulnerabilităţi au fost clasate ca critice de echipa F5 de securitate și implică condiții de suprascriere a bufferelor și prelucrare incorectă a cererilor HTTP.

Un atacator ar putea exploata aceste greșeli de la distanță pentru să opresc serviciile sau să obțină acces neautorizat la sistemele de bază.

F5 a subliniat că vulnerabilităţile nu erau publice cunoscute înainte de divulgare și că, până acum, nu au fost rapoarte despre exploatare activă în natură.

Compania a rugat utilizatorilor de NGINX Open Source și NGINX Plus să aplicze patch-urile imediat, menționând că versiunile afectate acoperă recentele lansări pe platforme Linux și Unix.

Echipa de Ce înseamnă aceasta pentru implementările de enterprise? Companiile care folosesc NGINX pentru echilibrarea de încărcare, gateway-uri API sau firewalle pentru aplicaţii web sunt expuse la riscul de întrerupere a serviciilor dacă nu aplică patch-urile.

Flaw-urile ar permite actorilor răi să supere procesele de lucru sau să introducă payload-uri nocive prin cereri HTTP craftate cu grijă.

F5 a observat că mediile cu volumuri ridicate de cereri sau reguli de rutare complexe sunt mai vulnerabile, datorită expunerii crescută la trafic malformă. Clienții care folosesc implementări cloud-native sau controlere de ingress în Kubernetes trebuie să facă patch-ul o prioritate în cadrul rutinelor de management al vulnerabilităților.

Pentru cei care nu pot actualiza imediat, F5 a oferit pași de mitigare detaliati, inclusiv ajustări temporare ale regulilor în modulele WAF asociate.

Cum a reacționat F5 în fața vulnerabilităților critice din NGINX?

După această incidentă, F5 a întărit procesele interne de revizuire de cod și a extins testarea automatizată pentru componentele de bază ale NGINX.

Furnizorul a confirmat că lucrează cu cercetători de securitate de terze parti pentru a îmbunătăţi detectarea vulnerabilităților în lanțul de furnizare a software-ului.

Un portavoc a declarat că companie investește în unelte suplimentare de fuzzing și protecții la runtime pentru a surprinde defectele similare mai devreme în fază de dezvoltare. F5 a reafirmat de asemenea angajamentul spre transparență timely, specificând că va continua să lanseze actualizări de urgență în afara ciclului obișnuit atunci când apar amenințări critice.

Pe termen lung, scopul este să reducă dependența de patch-uri de urgență prin validări mai riguroase înainte de lansare.

Patch-urile sunt disponibile pentru toate versiunile NGINX? Nu, actualizările se aplică doar la versiunile NGINX Open Source de la 1.25.0 până la 1.25.3 și la versiunile NGINX Plus de la R26 până la R29.

Utilizatorii care nu se află în aceste intervale trebuie să consulte avertizarea de securitate F5 pentru indicații specifică versiunii.

Pot fi exploatate flaw-urile pentru a fura date? F5 nu a găsit dovezi că vulnerabilitățile permit exfiltrarea de date.

Riscurile principale sunt refuzul de serviciu și, în anumite condiții, execuția remotă a codului.

Trebuie să repornesc NGINX după aplicarea patch-ului?

Da, este necesar un reîncărcare completă sau un restart al procesului NGINX pentru ca patch-urile să devină active, deoarece corecțiile implică modificări în rutinele de gestionare a memoriei de bază.