CVE-2026-61629 in nginx-ignition
Zusammenfassung
von VulDB • 21.09.2026
nginx ignition ist eine Benutzeroberfläche für den Webserver nginx. In den Versionen 2.29.0 bis 2.40.0 läuft das gin-i18n-Middleware-Modul im API-Server von nginx-ignition vor jeder HTTP-Anfrage und ruft `golang.org/x/text/language.ParseAcceptLanguage` für den rohen `Accept-Language`-Header auf, ohne dabei jegliche Größen- oder Formfilter anzuwenden. Der zugrunde liegende Parser zeigt bei langen Listen fehlerhafter Sprach-Tags ein quadratisches Zeitverhalten (Quadratic-Time Behaviour). Die CVE-2022-32149-Schutzmaßnahme, die golang.org/x/text in v0.3.8 eingeführt hat, begrenzt die Anzahl der `-`-Zeichen im Eingabestrom auf 1000, beschränkt jedoch nicht die `_`-Zeichen, obwohl der interne Scanner des Parsers `_` vor dem Parsing als Alias für `-` behandelt. Eine einzelne unautentifizierte GET-Anfrage mit einem `Accept-Language`-Header, der aus `_`-Trennzeichen besteht, verbraucht etwa 2,4 Sekunden Server-CPU-Zeit auf dem Host, auf dem nginx-ignition ausgeführt wird; zehn gleichzeitige Angreifer sättigen einen Rechner mit zehn Kernen während des gesamten Angriffs und verbrauchen dabei ca. 10 MiB/s an Upstream-Bandbreite. Die Version 2.40.1 behebt dieses Problem.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.