F5 NGINX Plus y la vulnerabilidad de código abierto permiten a los atacantes ejecutar código utilizando un archivo…

Se ha revelado una vulnerabilidad de alta gravedad que afecta tanto a NGINX Open Source como a NGINX Plus. Registrado formalmente como CVE-2026-32647, este fallo de seguridad tiene una puntuación base CVSS v4.0 de 8,5 y una puntuación CVSS v3.1 de 7,8.

Permite a atacantes locales autenticados desencadenar una condición de denegación de servicio (DoS) o potencialmente ejecutar código arbitrario en el sistema subyacente. F5 NGINX Plus y vulnerabilidad de código abierto El núcleo de este problema de seguridad surge de una vulnerabilidad de lectura fuera de límites, clasificada como CWE-125. Los actores de amenazas pueden aprovechar esta debilidad obligando al servidor NGINX a procesar un archivo MP4 especialmente diseñado. Cuando el proceso de trabajo de NGINX analiza el archivo multimedia malicioso, provoca un desbordamiento o un desbordamiento del búfer en la memoria del trabajador.

Más allá de una simple denegación de servicio, los atacantes teóricamente podrían encadenar esta corrupción de la memoria para lograr la ejecución remota de código en la máquina host. La publicación F5 NGINX Plus y la vulnerabilidad de código abierto permiten a los atacantes ejecutar código utilizando un archivo MP4 apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗