CVE-2026-42530

Atakujący wysyła specjalnie spreparowaną sesję HTTP/3 przez protokół QUIC, powodując ponowne otwarcie strumienia enkodera QPACK (QPACK encoder stream). Operacja ta prowadzi do sytuacji use-after-free w procesie roboczym NGINX, ponieważ kod odwołuje się do obszaru pamięci, który został już zwolniony. Zwykłym skutkiem jest crash i restart procesu roboczego, jednak gdy mechanizm ASLR (Address Space Layout Randomization) jest wyłączony lub atakujący jest w stanie go obejść, możliwe jest wykonanie dowolnego kodu w kontekście procesu NGINX. Warunek wyzwolenia podatności wymaga dodatkowych okoliczności niezależnych od atakującego, co klasyfikuje złożoność ataku jako wysoką (AC:H).

Atakujący może spowodować awaryjny restart procesu roboczego NGINX (odmowa dostępu do usługi), a przy wyłączonym ASLR lub skutecznym jego ominięciu — wykonać dowolny kod na zaatakowanym systemie (RCE), przejmując kontrolę nad procesem NGINX.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (F5 Security Advisory K000161616: https://my.f5.com/manage/s/article/K000161616). Jako obejście tymczasowe należy rozważyć wyłączenie modułu HTTP/3 QUIC (ngx_http_v3_module), jeśli nie jest wymagany. Ponadto należy upewnić się, że ASLR jest włączony na wszystkich systemach uruchamiających NGINX, co ogranicza ryzyko udanego RCE.

F5 NGINX Open Source z włączonym modułem HTTP/3 QUIC (ngx_http_v3_module), F5 NGINX Ingress Controller oraz F5 NGINX Gateway Fabric. Wersje objęte podatnością wskazane są w referencjach producenta (F5 K000161616). Wersje objęte statusem End of Technical Support (EoTS) nie są oceniane.

Podatność dotyczy wyłącznie instalacji NGINX skonfigurowanych z obsługą HTTP/3 (QUIC). Skuteczne przeprowadzenie ataku RCE wymaga wyłączonego ASLR lub zdolności atakującego do jego ominięcia oraz spełnienia dodatkowych warunków niezależnych od atakującego — co obniża prawdopodobieństwo pełnej eksploitacji w typowych środowiskach produkcyjnych.