Nginx : exécution de code à distance — corrigée en 37.1.0.1, 5.7.0, 1.0.2, 1.31.7

1. Vérifier si vous êtes concerné

   Versions ou systèmes touchés :

   NGINX App Protect WAF versions 4.x

   NGINX App Protect DoS versions 4.x

   NGINX Plus versions antérieures à 37.1.0.1 et 37.0.5.1

   NGINX Ingress Controller versions antérieures à 5.7.0

   NGINX Ingress Controller versions 2026-lts-r3 - 2026-lts-r8

   NGINX Javascript antérieures à 1.0.2

   NGINX Open Source versions 1.31.x antérieures à 1.31.7

   F5 WAF for NGINX versions 5.x antérieures à 5.14.2 et 5.16.0

   NGINX Instance Manager versions 2.x antérieures à 2.24.0

   NGINX Open Source versions antérieures à 1.30.6

   NGINX Gateway Fabric versions antérieures à 2.8.0

   F5 DoS for NGINX versions 4.x antérieures à 4.11.0

   NGINX App Protect WAF versions 5.x

   nginx -v

2. Corriger

   Versions corrigées : 37.1.0.1, 5.7.0, 1.0.2, 1.31.7, 5.14.2, 2.24.0, 1.30.6, 2.8.0, 4.11.0, nginx 1.26.3-3+deb13u10 (trixie).

   Mettre à jour Nginx (paquet de la distribution ou dépôt nginx.org), puis recharger le service.

   sudo apt update && sudo apt install --only-upgrade nginx
   sudo nginx -t && sudo systemctl reload nginx

3. En attendant le correctif

   Désactiver la directive ou le module concerné (souvent cité dans l'avis) et recharger la configuration.

4. Contrôler

   nginx -v doit afficher la version corrigée.

Commandes indicatives (Debian ou Ubuntu) : à adapter à chaque serveur, après sauvegarde.

De multiples vulnérabilités ont été découvertes dans les produits F5. Certaines d'entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance, un déni de service à distance et une atteinte à la confidentialité des données. Risques : Déni de service à distance, Exécution de code arbitraire à distance, Non spécifié par l'éditeur, Contournement de la politique de sécurité, Atteinte à la confidentialité des données.