「NGINX JavaScript」に複数の脆弱性 - アップデートが公開

NGINX上でJavaScriptによる処理を実行するために用いられるコンポーネント「NGINX JavaScript（njs）」に複数の脆弱性が明らかとなった。アップデートが提供されている。

F5は現地時間2026年9月2日、セキュリティアドバイザリを公開し、3件の脆弱性「CVE-2026-78689」「CVE-2026-18329」「CVE-2026-78222」を明らかにした。開発チームは「CVE-2026-78689」を「major」、のこる2件を「medium」とレーティングしている。

「CVE-2026-78689」は、XMLモジュールにおいてヒープ領域外への書き込みが生じる脆弱性。細工されたデータを処理すると、ワーカーのクラッシュやメモリリークが発生するおそれがある。公式のSAMLリファレンス実装についても、SAML署名の検証処理が影響を受けるという。

一方「CVE-2026-18329」は、「js_access」におけるアクセス制御がバイパスされる脆弱性。リクエストボディの非同期処理時にエラーが発生したにもかかわらず、保護されたリソースへのアクセスが可能となる。また細工されたHTTPレスポンスを一定条件下で取得した場合にNULLポインタ参照が発生し、ワーカーが異常終了する「CVE-2026-78222」が明らかとなった。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは「9.2」「8.8」「8.7」、「CVSSv3.1」では「8.1」「8.2」「7.5」と評価されている。

開発チームは、これら脆弱性に対処した「同1.0.1」を公開。一部脆弱性については設定の変更など緩和策がアナウンスされている。

（Security NEXT - 2026/09/03 ）ツイート

「NGINX JavaScript」に複数の脆弱性 - アップデートが公開

関連リンク

PR

関連記事