Разработчики F5 выпустили внеплановые патчи для Nginx, закрывающие несколько уязвимостей, три из которых критичны и при определённых условиях допускают удалённое выполнение произвольного кода. Обновления затронули ряд версий продукта, включая стабильные ветки.

Критические проблемы связаны с обработкой специально сформированных запросов: при определённой конфигурации сервера эксплуатация может привести к выполнению чужого кода. Помимо этого, патчи устраняют уязвимости менее высокого уровня опасности, которые также требуют внимания администраторов.

Внеплановый характер выпуска указывает на серьёзность ситуации: обычно такие обновления выходят, когда риск реальных атак считается высоким. F5 не раскрывает все технические детали до момента, когда большинство пользователей успеет обновиться.

Предыстория связана с тем, что Nginx остаётся одним из самых распространённых веб-серверов и обратных прокси, поэтому уязвимости в нём затрагивают инфраструктуру множества компаний. Даже редкая конфигурация, необходимая для эксплуатации, не снижает общего риска, если таких установок много.

Администраторам рекомендуется как можно быстрее обновиться до исправленных версий и проверить конфигурации, потенциально подверженные описанным сценариям. Ожидается, что публичный PoC и рост сканирований появятся в ближайшие дни.