JVNDB-2026-003726

F5 NetworksのNGINX Gateway Fabric等の複数製品における複数の脆弱性

NGINX OSSおよびNGINX Plusにおいて、アップストリームのトランスポート層セキュリティ（TLS）サーバーへのプロキシ設定がされている場合に脆弱性が存在します。攻撃者がアップストリームサーバー側で中間者攻撃（MITM）の位置を占めており、かつ攻撃者の制御外の条件が揃った場合、アップストリームのプロキシサーバーからの応答にプレーンテキストデータを注入できる可能性があります。なお、テクニカルサポート終了（EoTS）に達したソフトウェアバージョンは評価対象外としています。

F5 Networks

• NGINX Gateway Fabric 1.2.0 から 1.6.2
• NGINX Gateway Fabric 2.0.0 以上 2.4.1 未満
• NGINX Ingress Controller 3.4.0 から 3.7.2
• NGINX Ingress Controller 4.0.0 から 4.0.1
• NGINX Ingress Controller 5.0.0 以上 5.3.3 未満
• NGINX Instance Manager 2.15.1 から 2.21.0
• nginx open source 1.29.0 以上 1.29.5 未満
• nginx open source 1.3.0 以上 1.28.2 未満
• NGINX plus r33 以上 r35 未満
• NGINX plus r32
• NGINX plus r33
• NGINX plus r34
• NGINX plus r35
• NGINX plus r36

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

F5 Networks

• Security Advisory : NGINX vulnerability CVE-2026-1642

Openwall

• Openwall mailing list archives : oss-security - NGINX < 1.29.5, 1.28.2 MitM injection CVE-2026-1642

1. データの信頼性についての不十分な検証(CWE-345) [NVD評価]
2. 信頼できるデータ受け入れ時の信頼できない無関係なデータの受け入れ(CWE-349) [その他]

1. CVE-2026-1642

1. National Vulnerability Database (NVD) : CVE-2026-1642

• [2026年02月17日]
    掲載