Hoy F5 ha emitido parches fuera de ciclo para tres vulnerabilidades críticas descubiertas en NGINX. Los defectos, catalogados como CVE-2026-15176, CVE-2026-97205 y CVE-2026-93479, pueden ser explotados de forma remota y sin autenticación, resultando en ejecución de código arbitrario o denegación de servicio. La gravedad se incrementa en entornos donde se han aplicado configuraciones personalizadas que activan los módulos afectados. La publicación de los parches es una medida de urgencia para mitigar la exposición antes de que los atacantes desarrollen exploits funcionales.

Qué sabemos

El primer hallazgo, CVE-2026-15176, es un desbordamiento de búfer en el heap que ocurre bajo ciertas condiciones de manejo de memoria interna de NGINX. El segundo, CVE-2026-97205, es un uso después de liberar (use‑after‑free) dentro del módulo HTTP/3, una característica que todavía no está habilitada por defecto en la mayoría de las instalaciones. Finalmente, CVE-2026-93479 afecta la directiva map, permitiendo que un atacante manipule la lógica de asignación de variables y provoque comportamientos inesperados que pueden derivar en ejecución remota de código o caída del servicio.

Todos los vectores comparten la característica de requerir que el servidor NGINX esté configurado con opciones no predeterminadas que activan los módulos vulnerables. En configuraciones estándar, los vectores son menos explotables, pero la práctica común en entornos empresariales es personalizar la configuración para optimizar rendimiento o seguridad, lo que abre la puerta a estos fallos.

Análisis técnico

Desde la perspectiva de un pentester, CVE-2026-15176 permite la inyección de datos especialmente diseñados que sobrescriben estructuras de control en el heap, lo que puede derivar en la ejecución de código arbitrario bajo los privilegios del proceso NGINX. El exploit típico seguiría una cadena de pasos: envío de una petición HTTP especialmente formada, desencadenamiento del overflow, y redirección del flujo de ejecución a un payload inyectado.

En el caso de CVE-2026-97205, el uso después de liberar ocurre cuando el módulo HTTP/3 maneja objetos de sesión que son liberados prematuramente. Un atacante puede forzar la reutilización de esa memoria mediante una segunda petición HTTP/3, lo que lleva a la ejecución de código controlado por el atacante. Este vector es particularmente atractivo porque HTTP/3 está ganando adopción y, aunque no está habilitado por defecto, muchas organizaciones lo activan para mejorar la latencia.

La vulnerabilidad CVE-2026-93479 se basa en la manipulación de la directiva map. Al proporcionar valores de entrada que coinciden con patrones maliciosos, un atacante puede alterar la lógica de asignación de variables internas, provocando que NGINX ejecute comandos o scripts no autorizados. En entornos donde la directiva map se usa para redirigir tráfico o aplicar reglas de seguridad, el impacto puede escalar rápidamente a una toma de control total del servidor.

Qué deben hacer los equipos de seguridad

  • Aplicar inmediatamente los parches publicados por F5 en todos los servidores que ejecuten NGINX, priorizando los sistemas con configuraciones personalizadas.
  • Verificar la versión del binario de NGINX y confirmar que el número de versión incluye la corrección para los CVEs mencionados.
  • Revisar la configuración de NGINX en busca de módulos opcionales habilitados (por ejemplo, HTTP/3 o directivas map) y deshabilitarlos si no son estrictamente necesarios.
  • Implementar reglas de detección en los sistemas de monitoreo y SIEM que alerten sobre patrones de tráfico anómalos asociados a los vectores de explotación descritos.
  • Ejecutar pruebas de penetración internas enfocadas en los vectores descritos para validar que los parches mitiguen efectivamente los riesgos.
  • Actualizar las políticas de gestión de parches para incluir mecanismos de respuesta rápida ante vulnerabilidades fuera de ciclo.
Fuente: BleepingComputer