Erros críticos no NGINX de F5 exigem adesivo imediato para evitar DoS e execução remota de código

F5 publicou atualizações de segurança fora de ciclo para corrigir várias vulnerabilidades em servidores web NGINX, entre elas duas falhas de segurança gravidade crítica que permitem a atacantes remotos sem autenticar provocar denegações de serviço e, em condições específicas, executar código arbitrário. Essas falhas exploram erros clássicos de memória — ose-after-free e transbordamentos na pilha — que provocam reinício do processo trabalhador e, se o sistema tiver ASLR desactivado ou o atacante consegue sortear, podem resultar em execução remota de código.

As correções cobrem tanto NGINX Open Source e NGINX Plus como componentes da carteira de F5, incluindo NGINX Gateway Fabric e NGINX Instance Manager. Pela ampla implantação destas tecnologias em ambientes empresariais e de prestadores de serviços, qualquer falha crítica na NGINX traduz-se num risco de alto impacto para infra-estruturas que servem aplicações públicas e privadas, especialmente porque F5 tem sido alvo repetido de campanhas criminosas e estaduais nos últimos anos.

Se não puder aplicar imediatamente os adesivos, o F5 indicou atenuações pontuais: desativar o HTTP/3 (eliminando "quic" das directivas listen) para uma das vulnerabilidades, e para a outra revisão e ajuste de directivas de cabeçalhos (eliminar ignore_ invalid_headers off e reduzir large_ client_header_ buffers abaixo de 2 MB). Estas medidas ajudam, mas não constituem uma solução definitiva: desactivar o HTTP/3 reduz a superfície de ataque, mas também afeta o desempenho e as características da pilha HTTP/3.

Perante este tipo de avisos, é conveniente adoptar uma resposta coordenada: priorice o sistema transdérmico imediato de instâncias expostas à Internet e aquelas que albergam serviços críticos; implantação em primeiro lugar em ambientes de ensaio para validar a compatibilidade; e aplique as mitigações temporárias se a actualização não for possível imediatamente. Além disso, active controlos compensatórios como regras WAF específicas, segmentação de rede para isolar componentes administrativos e registros ampliados para detectar reinícios incomuns ou crashes do processo nginx.

Também é recomendável verificar o estado de ASLR e outras protecções de memória nos servidores afetados, rever registros de auditoria e alertas de EDR/IDS por sinais de exploração (core dumps, processos filhos inesperados, falhas repetidas do trabalhador) e realizar análises de integridade em binários e configurações. Dado o precedente de vazamentos de vulnerabilidades e código de F5, há um maior incentivo para que atores maliciosos desenvolvam exploits rapidamente após a divulgação.

Para informações oficiais sobre as correções e os CVE associados, consulte as notas do fornecedor e o guia público de vulnerabilidades ativas: Página de suporte F5 e o catálogo de vulnerabilidades exploradas ativamente da CISA em EE. Os EUA, que mantêm um registo útil para priorizar as remediações: CISA — vulnerabilidades conhecidas exploradas (F5). Para entender o impacto de desativar HTTP/3 em seus serviços, você pode consultar a documentação técnica da NGINX sobre HTTP/3: NGINX — HTTP/3.

Em resumo, trate este aviso como prioritário: aplique os adesivos do fornecedor quanto possível, use as mitigações documentadas apenas como solução temporária, aumente a visibilidade e a monitorização das instâncias afectadas, e verifique a sua estratégia de resposta a incidentes e gestão de adesivos para reduzir janelas de exposição contra atores que historicamente exploraram vulnerabilidades em produtos F5.