製品・ソフトウェアに関する情報
Vulnerability Search
F5 NetworksのDoS等の複数製品における境界外読み取りに関する脆弱性
Title F5 NetworksのDoS等の複数製品における境界外読み取りに関する脆弱性
Summary

NGINX PlusおよびNGINXオープンソースにはngx_http_charset_moduleモジュールに脆弱性があります。charset、source_charset、およびcharset_mapが設定されていて、さらにバッファリングが無効（"off"）に設定されたproxy_passディレクティブが構成されている場合、認証されていない攻撃者が制御外の条件付きリクエストを送信できます。これにより、NGINXワーカープロセスでヒープバッファのオーバーリードが発生し、メモリの限定的な情報漏えいやプロセスの再起動につながる可能性があります。注：技術サポート終了（EoTS）に達したソフトウェアバージョンについては評価されていません。

Possible impacts ・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアの一部が停止する可能性があります。 
Solution

ベンダ情報を参照して適切な対策を実施してください。

Publication Date May 13, 2026, midnight
Registration Date June 22, 2026, 11:37 a.m.
Last Update June 22, 2026, 11:37 a.m.
CVSS3.0 : 警告
Score 4.8
Vector CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L
Affected System
F5 Networks
DoS 4.3.0 から 4.7.0
DoS 4.8.0
NGINX Gateway Fabric 1.3.0 から 1.6.2
NGINX Gateway Fabric 2.0.0 から 2.6.0
NGINX Ingress Controller 3.5.0 から 3.7.2
NGINX Ingress Controller 4.0.0 から 4.0.1
NGINX Ingress Controller 5.0.0 から 5.4.2
NGINX Instance Manager 2.16.0 から 2.22.0
nginx open source 0.3.50 から 0.9.7
nginx open source 1.0.0 から 1.30.0
NGINX plus r32 から r36
WAF 4.9.0 から 4.16.0
WAF 5.1.0 から 5.8.0
WAF 5.9.0 から 5.12.1
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
Change Log
No Changed Details Date of change
1 [2026年06月22日]
  掲載		 June 22, 2026, 11:37 a.m.
NVD Vulnerability Information
CVE-2026-42934
Summary

NGINX Plus and NGINX Open Source have a vulnerability in the ngx_http_charset_module module. When charset, source_charset, and charset_map and proxy_pass with disabled buffering ("off") directives are configured, unauthenticated attackers can send requests that with conditions beyond the attackers' control to cause a heap buffer over-read in the NGINX worker process, leading to limited disclosure of memory or a restart.

 Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Publication Date May 14, 2026, 1:16 a.m.
Registration Date May 15, 2026, 4:21 a.m.
Last Update May 14, 2026, 1:27 a.m.
Related information, measures and tools
Common Vulnerabilities List