F5 warnt vor kritischer NGINX-Schwachstelle
Eine neue Schwachstelle in NGINX kann unter bestimmten Bedingungen zum Absturz oder gar zur Codeausführung führen. Betroffen sind mehrere NGINX- und F5-Produkte. F5 erklärt, welche Konfigurationen betroffen sind, wer einen Patch braucht und wie sich das Risiko ohne Update entschärfen lässt.
F5 hat eine Sicherheitswarnung zu einer Schwachstelle in mehreren NGINX-Produkten veröffentlicht. Unter der Kennung K000161584 und der CVE-Nummer CVE-2026-42055 beschreibt der Hersteller eine Lücke in den Modulen ngx_http_proxy_v2_module und ngx_http_grpc_module.
Die Meldung wurde am 17. Juni 2026 veröffentlicht und am Folgetag noch einmal aktualisiert. Betroffen sind sowohl NGINX Plus als auch die Open-Source-Variante des weitverbreiteten Webservers, der häufig als Reverse Proxy und Load Balancer im Einsatz ist.
Wie der Pufferüberlauf entsteht
Der Fehler tritt laut F5 dann auf, wenn eine Konfiguration HTTP/2-Verkehr über die Direktiven "proxy_http_version 2" oder "grpc_pass" an einen Upstream-Server weiterleitet. Zusätzlich muss die Direktive "ignore_invalid_headers" deaktiviert sein und der Puffer für Client-Header über "large_client_header_buffers" größer als 2 MByte konfiguriert sein.
Ein entfernter, nicht authentifizierter Angreifer kann unter diesen Bedingungen überlange Header senden und dadurch einen heap-basierten Pufferüberlauf im NGINX-Arbeitsprozess auslösen. Die Schwachstelle ist als CWE-122 klassifiziert. In der Folge stürzt der betroffene Prozess ab und startet neu, was zu einem Denial-of-Service führt. Ist zudem die Speicherschutzmaßnahme ASLR (Address Space Layout Randomization) deaktiviert oder lässt sich umgehen, hält F5 sogar die Ausführung von Schadcode für möglich.
Wichtig für die Einordnung: Die Standardkonfiguration von NGINX ist nach Angaben des Herstellers nicht betroffen. Die Direktive ignore_invalid_headers ist im Auslieferungszustand aktiviert, und die Standardgröße der Header-Puffer von vier mal acht Kilobyte blockiert den Angriff von vornherein.
Nur wenn alle drei genannten Bedingungen gleichzeitig vorliegen, also HTTP/2-Proxying, deaktivierte Header-Prüfung und übergroße Puffer, besteht ein Risiko. F5 stuft die Schwachstelle dennoch als hoch bis kritisch ein: Die CVSS-Bewertung liegt bei 8,1 nach Version 3.1 beziehungsweise 9,2 nach der neueren Version 4.0. Die Kontrollebene der Produkte sei nicht betroffen, lediglich die Datenebene.
Diese NGINX-Produkte sind betroffen
Auf der Liste der betroffenen Produkte stehen unter anderem NGINX Plus in den Versionen 37.0.0 bis 37.0.1, behoben in 37.0.2.1, sowie die R-Reihe R33 bis R36, für die der Hotfix R36 P6 bereitsteht. Bei NGINX Open Source betrifft es die Versionen 1.31.1 sowie 1.30.0 bis 1.30.2, gefixt in 1.31.2 beziehungsweise 1.30.3.
Auch NGINX Instance Manager, die WAF-Produkte F5 WAF for NGINX und NGINX App Protect WAF, die DoS-Schutzlösungen sowie NGINX Gateway Fabric und NGINX Ingress Controller tauchen in der Liste auf, wobei für einige dieser Produkte aktuell noch keine gepatchte Version existiert. Nicht betroffen sind dagegen BIG-IP, BIG-IQ, BIG-IP Next, F5OS, F5 Distributed Cloud sowie Traffix SDC und F5 AI Gateway.
So lässt sich die Lücke schließen
Wer keine passende gepatchte Version einspielen kann, soll laut F5 auf die beschriebenen Abhilfemaßnahmen zurückgreifen. Demnach reicht es bereits aus, die Direktive ignore_invalid_headers off aus der Konfiguration zu entfernen oder den Wert von large_client_header_buffers unter zwei Megabyte zu senken.
Administratoren, die HTTP/2-Proxying mit den genannten Direktiven einsetzen, sollten ihre Konfiguration daher zeitnah überprüfen und gegebenenfalls anpassen, auch wenn für ihr Produkt noch kein offizieller Fix vorliegt.