392/69 (IT) ประจำวันศุกร์ที่ 16 กรกฎาคม 2569
F5 ออกประกาศอัปเดตความปลอดภัยแบบ Out-of-band เพื่อแก้ไขช่องโหว่จำนวน 8 รายการในผลิตภัณฑ์ NGINX และ BIG-IP โดยช่องโหว่ที่มีความรุนแรงสูงสุดคือ CVE-2026-42533 มีคะแนน CVSS 9.2 อยู่ในระดับ Critical ส่งผลกระทบต่อ NGINX Plus และ NGINX Open Source ผู้โจมตีอาจส่ง HTTP Request ที่ถูกสร้างขึ้นเป็นพิเศษ เพื่อทำให้เกิด Heap Buffer Overflow และส่งผลให้ NGINX Worker Process Restart ได้
F5 ระบุว่าช่องโหว่ CVE-2026-42533 เกี่ยวข้องกับกรณีที่ Map Directive ใช้ Regex Matching และ String Expression มีการอ้างอิง Regex Capture Variable ของ Map ก่อนอ้างอิง Map Output Variable หรือในบางเงื่อนไขอาจเกิดจากการใช้ Non-cacheable Variable ใน String Expression โดยผู้โจมตีสามารถใช้ช่องโหว่นี้ได้โดยไม่ต้อง Authentication แต่ต้องอยู่ภายใต้เงื่อนไขเฉพาะที่ผู้โจมตีไม่สามารถควบคุมได้ ทั้งนี้ หากระบบปิดใช้งาน Address Space Layout Randomization หรือ ASLR ผู้โจมตีอาจสามารถยกระดับผลกระทบไปสู่การสั่งรันโค้ดบนระบบได้
นอกจากนี้ แพตช์ดังกล่าวยังแก้ไขช่องโหว่ระดับ High Severity หลายรายการใน NGINX เช่น ช่องโหว่ในโมดูล ngx_http_slice_module และ ngx_http_ssi_module ที่อาจถูกใช้โจมตีได้โดยไม่ต้อง Authentication และอาจทำให้ผู้โจมตีสามารถเปิดเผยข้อมูลใน Memory, Restart NGINX Worker Process หรือก่อให้เกิด Use-after-free เพื่อแก้ไขข้อมูลใน Memory ได้ รวมถึงช่องโหว่ระดับ High Severity ใน NGINX Ingress Controller ที่อาจเปิดทางให้ผู้โจมตีที่ผ่านการ Authentication แล้ว Inject คำสั่งกำหนดค่า NGINX เพื่อ Delete File, Disable Service หรือสร้างและแก้ไข Ingress หรือ TransportServer Resource จนทำให้เกิด Denial-of-Service หรือ DoS ได้ ขณะเดียวกัน F5 ยังแก้ไขช่องโหว่ระดับ High Severity ใน BIG-IP ที่ผู้โจมตีจากระยะไกลโดยไม่ต้อง Authentication อาจใช้เพิ่มการใช้ Memory Resource เมื่อมีการตั้งค่า HTTP/2 Profile บน Virtual Server จนทำให้เกิด DoS ได้ ทั้งนี้ F5 ยังไม่ได้ระบุว่ามีช่องโหว่ใดถูกใช้โจมตีแล้วในขณะรายงาน
แหล่งข่าว : https://www.securityweek.com/f5-patches-multiple-nginx-big-ip-vulnerabilities/