CVE-2026-61629 in nginx-ignition
Résumé
par VulDB • 21/09/2026
nginx ignition est une interface utilisateur pour le serveur web nginx. Dans les versions de 2.29.0 à 2.40.0, le middleware gin i18n du serveur API de nginx-ignition s'exécute devant chaque requête HTTP et appelle `golang.org/x/text/language.ParseAcceptLanguage` sur l'en-tête brut `Accept-Language` sans imposer aucun filtre de taille ou de forme. L'analyseur sous-jacent présente un comportement en temps quadratique pour les longues listes de balises linguistiques malformées. La protection CVE-2022-32149 ajoutée par golang.org/x/text dans la version v0.3.8 limite le nombre de caractères `-` dans l'entrée à 1000, mais elle ne limite pas les caractères `_`, bien que le scanner interne de l'analyseur aliasse `_` en `-` avant l'analyse. Une seule requête GET non authentifiée avec un en-tête `Accept-Language` construit à partir de séparateurs `_` consomme environ 2,4 secondes d'CPU du serveur sur la machine hébergeant nginx-ignition ; dix attaquants simultanés satureront une boîte à dix cœurs pendant toute la durée de l'attaque tout en consommant ~10 MiB/s de bande passante amont. La version 2.40.1 corrige ce problème.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.