CVE-2026-61629
nginx ignition has ParseAcceptLanguage `_` separator bypass that enables ~75x CPU amplification via Accept-Language header in i18nMiddleware
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 2.40.1, 0.0.0-20260526022344-0c988fc1277c
Обновить nginx ignition до версии выше 2.40.0 либо ограничить размер заголовка Accept-Language на обратном прокси.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Отказ в обслуживании (DoS) через заголовок Accept-Language из-за обхода лимитов парсера разделителем '_'.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В nginx-ignition версий 2.29.0–2.40.0 middleware gin i18n передает сырой заголовок Accept-Language в golang.org/x/text/language.ParseAcceptLanguage без фильтрации длины. Парсер имеет квадратичную сложность разбора, а защита CVE-2022-32149 ограничивает число символов '-', игнорируя алиас '_'.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Амплификация нагрузки на CPU до ~75x от одного неаутентифицированного HTTP GET-запроса, вызывающая истощение ресурсов и DoS всего API-сервера.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
lucasdillmannnginx-ignition
>= 2.29.0➔Fix: 2.40.1
——
>= 0.0.0-20260126024607-cbaf0fc16ed8➔Fix: 0.0.0-20260526022344-0c988fc1277c
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (3)
- github.comhttps://github.com/lucasdillmann/nginx-ignition/security/advisories/GHSA-jr34-h97m-9hpx
- github.comhttps://github.com/lucasdillmann/nginx-ignition/commit/0c988fc1277c7d291725e8373313f8486fa1b31a
- github.comhttps://github.com/lucasdillmann/nginx-ignition/commit/cbaf0fc16ed873f7178a2ca9b0d00a696e44b485
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-61629: nginx ignition has ParseAcceptLanguage `_` separator bypass that enables ~75x CPU amplification via Accept-Language header in i18nMiddleware. URL: https://cve.futuretools.ru/cve/CVE-2026-61629
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_61629,
title = {{CVE-2026-61629: nginx ignition has ParseAcceptLanguage `_` separator bypass that enables ~75x CPU amplification via Accept-Language header in i18nMiddleware}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-61629}},
note = {Оперативный инженерный анализ киберугроз}
}