CVE-2026-97205

概要

NGINX Plus および NGINX Open Source の ngx_http_core_module モジュールに脆弱性があります。特定の構成で非同期ファイル I/O (AIO) が有効になっている場合、“include virtual” コマンドを含む Server Side Includes (SSI) ページを処理すると、NGINX ワーカープロセスで Use-After-Free (UAF) が発生する可能性があります。これにより、メモリ破損やワーカープロセスのクラッシュが引き起こされる可能性があります。さらに、Address Space Layout Randomization (ASLR) が無効になっているシステムや、攻撃者が ASLR をバイパスできる場合には、攻撃者がコードを実行できる可能性があります。影響: この脆弱性により、リモートの攻撃者が NGINX システム上でサービス拒否 (DoS) を引き起こしたり、メモリを破損させたり、場合によってはコード実行を誘発したりする可能性があります。コントロールプレーンの露出はなく、これはデータプレーンのみの問題です。注: End of Technical Support (EoTS) に達したソフトウェアバージョンは評価対象外です。

ソース

• CVE-2026-97205情報

  nginx 1.30.6 および 1.31.7 で修正された nginx コアの脆弱性について、ディストリビューションごとのパッチ適用状況を追跡する静的 Hugo サイト。CVE ID、修正バージョン、アップストリームのコミットを掲載。