Splunk近期9.8分重大漏洞被CISA列入KEV，6月21日須完成修補

來源：https://www.ithome.com.tw/news/176740

上週思科旗下Splunk揭露與修補12個漏洞，其中的CVSS評分9.8分重大漏洞CVE-2026-20253，因後續有很高機會遭攻擊者利用而受到關注，6月18日美國網路安全與基礎設施安全局（CISA）因掌握此漏洞已遭積極利用的證據，因此，宣布將其列入已遭利用的漏洞清單（KEV），並下令要求聯邦機構72小時內完成修復與緩解措施（期限為6月21日）。

同一天，Splunk也更新CVE-2026-20253的安全性公告，上面提到Splunk的產品安全事故應變團隊（PSIRT）察覺少量利用此漏洞的行為，強烈建議用戶更新至已修補此漏洞的版本。基本上，CVE-2026-20253影響的產品主要是Splunk Enterprise的10.0版與10.2版，因此，用戶可升級至10.2.4、10.2.7，或不受此漏洞影響的10.4版。

若短期內無法升級至這些版本，Splunk的建議是停用PostgreSQL sidecar系統服務，做法是在設定檔$SPLUNK_HOME/etc/system/local/server.conf的PostgreSQL段落，加入組態描述「disabled = true」，重新啟動Splunk Enterprise後即可生效。

該公司也提醒，上述設定方式不會影響核心搜尋、索引與儀表板功能，但若Splunk執行個體需用到Edge Processor、OpAmp或SPL2資料管線流程功能，就不適用此方法。

'

F5針對Nginx發布緊急安全更新，揭露與修補兩個重大漏洞

來源：https://www.ithome.com.tw/news/176739

前兩天F5發布Nginx非例行的安全性更新公告，總共揭露6個漏洞，以CVSS 3.1評分而言，區分為4個高風險漏洞與2個中風險漏洞，若以CVSS 4.0評分而言，區分為2個重大漏洞、3個高風險漏洞，以及1個中風險漏洞。

從嚴重程度來看，CVE-2026-42530與CVE-2026-42055最高，CVSS 3.1評分均為8.1，CVSS 4.0評分均為9.2，問題分別出在Nginx Open Source的ngx_http_v3_module，以及Nginx Plus與Nginx Open Source的ngx_http_proxy_v2_module與ngx_http_grpc_module，兩個漏洞皆是資料層（data plane）處理的議題，而非控制層（control plane）暴露的狀況。

這兩個漏洞還有其他共通點，包括攻擊者可造成記憶體存取不良的問題，促成 Nginx重新啟動，攻擊者也能在停用或繞過「記憶體位址空間隨機配置（ASLR）」的系統，藉此發動遠端程式碼執行的活動。

用戶若不修補這兩個漏洞，F5警告遠端攻擊者可能藉此造成Nginx系統面臨服務遭阻斷（DoS），或觸發程式碼執行等狀況（若要利用CVE-2026-42055，需搭配Nginx已修改預設組態的狀況才能成立）。

單就CVE-2026-42530而言，屬於記憶體釋放後卻仍遭存取（UAF）類型的漏洞，可能面臨攻擊的狀況在於，當Nginx Open Source設定使用HTTP/3 QUIC模組時，遠端攻擊者不需通過身分驗證，可使用特製的HTTP/2連線階段重新開啟QPACK編碼器的資料串流，此舉將導致Nginx的工作者處理程序發生UAF，進而促使系統重新啟動。

CVE-2026-42530目前影響的產品，主要是Nginx Open Source的1.31.0與1.31.1版，F5最新釋出的1.31.2版已修補此漏洞。CVE-2026-42530也影響Nginx Instance Manager、Nginx Gateway Fabric、Nginx Ingress Controller，因為這三個產品皆基於Nginx Open Source而成，目前F5已針對Nginx Gateway Fabric 2.x版提供修補CVE-2026-42530的版本2.6.4，但對於Nginx Instance Manager 2.x、Nginx Gateway Fabric 1.x、Nginx Ingress Controller 3.x至5.x，F5尚未釋出修補的版本。

關於CVE-2026-42055，屬於堆積型緩衝區溢位（Heap-based Buffer Overflow）類型的漏洞，可能遭致攻擊的狀況在於，Nginx Plus與Nginx Open Source的proxy_http_version參數設定為2，或grpc_pass指令用於HTTP/2 傳輸流量的代理，且ignore_invalid_headers指令設為停用，以及large_client_header_buffers指令的容量大於2 MB，此時，遠端攻擊者可在建立上游請求時，傳送多個大型HTTP標頭，如此一來，將促使Nginx的工作者處理程序發生堆積型緩衝區溢位的狀況，進而導致系統重新啟動。

細部檢視CVE-2026-42055目前影響的產品，F5表示，主要是Nginx Plus 37.0.0至37.0.1版與R33至R36版，以及Nginx Open Source 1.31.1版與1.30.0至1.30.2版，而在最新釋出的Nginx Plus 37.0.2.1版與R36 P6版，以及Nginx Open Source 1.31.2至1.30.3版，已修補此漏洞。

CVE-2026-42055也影響其他產品，像是基於Nginx Open Source而成的產品，包括Nginx Instance Manager、Nginx Gateway Fabric、Nginx Ingress Controller，以及基於Nginx Plus而成的產品，包括F5 WAF for Nginx、F5 DoS for Nginx、Nginx App Protect WAF、Nginx App Protect DoS。目前F5僅針對Nginx Gateway Fabric與Nginx Ingress Controller的新世代版本提供修補，分別是2.6.4版與5.5.1版。

用戶若不方便將Nginx更新至已修補的版本，或目前所用的Nginx相關產品尚未釋出這類更新版，F5也在公告中列出緩解方法，以CVE-2026-42530為例，用戶可先停用HTTP/3，將quic模組從所有listen指令中移除；若要緩解CVE-2026-42055，F5建議用戶從組態設定移除ignore_invalid_headers off的指令，並且將large_client_header_buffers指令的容量減少至2 MB以下。

'

Waymo自駕計程車誤闖高速施工路段，近3,900輛遭召回修正

來源：https://www.ithome.com.tw/news/176738

Waymo周三（6/17）向美國國家公路交通安全管理局（NHTSA）提交自願性軟體召回文件，召回3,871輛搭載第5代自動駕駛系統的自駕計程車，原因是其自動駕駛系統可能無法正確辨識高速公路施工區的封閉標誌與交通錐，導致今年4月至5月間共13起誤闖施工路段事件。Waymo已暫停高速公路載客服務，並正開發相關修正程式。

根據文件內容，Waymo自駕車在今年4月於亞利桑那州鳳凰城發生6起事件，它們未能辨識匝道封閉標誌，駛入預先規畫封閉的高速公路施工區；繼之5月於舊金山灣區又發生7起相關事件，Waymo自駕車穿越了用來標示車道封閉的交通錐，進入正在施工的高速公路車道。

Waymo認為，原因可能是自動駕駛系統過度優先避開其他高速公路危險，或未能正確辨識施工區域。Waymo安全委員會因此於5月19日決定暫停所有高速公路行駛。

此次召回範圍限於具備高速公路自駕功能的車輛，不具備該功能的則未受影響，Waymo自駕車依然可在一般平面道路上行駛及營運。

根據TechCrunch的報導，這是Waymo第6次召回其自駕計程車，先前曾分別因車輛駛入積水道路、在校車周邊出現違規行為、低速碰撞鐵鍊、柵欄與電線桿，以及未能正確判斷被拖吊車輛等問題發起召回。

目前Waymo自駕計程車於美國約10個城市/地區提供載客服務，原本在邁阿密、鳳凰城、洛杉磯與舊金山灣區有限開放高速公路行程，但此次召回後已暫停高速公路服務。

'