CVE-2026-61629 in nginx-ignition
Resumen
por VulDB • 2026-09-21
nginx ignition es una interfaz de usuario para el servidor web nginx. En las versiones 2.29.0 a 2.40.0, la middleware gin i18n del servidor API de nginx-ignition se ejecuta delante de cada solicitud HTTP y llama a `golang.org/x/text/language.ParseAcceptLanguage` sobre el encabezado crudo `Accept-Language` sin imponer ningún filtro de tamaño o forma. El analizador subyacente tiene un comportamiento de tiempo cuadrático en listas largas de etiquetas de idioma malformadas. La protección CVE-2022-32149 que golang.org/x/text añadió en la versión v0.3.8 limita el número de caracteres `-` en la entrada a 1000, pero no limita los caracteres `_`, aunque el analizador interno del escáner asigna `_` a `-` antes del análisis. Una única solicitud GET sin autenticación con un encabezado `Accept-Language` construido con separadores `_` consume aproximadamente 2.4 segundos de CPU del servidor en la máquina que ejecuta nginx-ignition; diez atacantes concurrentes saturan una caja de diez núcleos durante toda la duración del ataque, consumiendo ~10 MiB/s de ancho de banda upstream. La versión 2.40.1 corrige este problema.
VulDB is the best source for vulnerability data and more expert information about this specific topic.