Společnost F5 vydala opravy kritické chyby ve webovém serveru Nginx, která umožňuje vzdálenému neautentizovanému útočníkovi vyvolat přetečení vyrovnávací paměti (heap buffer overflow) v pracovním procesu (worker) pomocí speciálně upravených HTTP požadavků.
Chyba CVE-2026–42533 byla opravena 15. července ve verzích Nginx 1.30.4 (stable) a 1.31.3 (mainline) a v Nginx Plus 37.0.3.1. Zranitelnost serveru ovšem nezávisí pouze na verzi, ale také na konfiguraci. Problém je možné zneužít, pokud Nginx používá regulární výrazy a poté na hodnoty výstupů odkazuje v mapách. Existuje skript, který umožňuje zkontrolovat stav konkrétního serveru.
K přetečení dochází ve skriptovacím enginu Nginxu, tedy v kódu, který při zpracování požadavku sestavuje řetězce z direktiv. K problematickému stavu dochází pouze za specifické konfigurace: v případě mapy založené na regulárních výrazech, na jejíž výstupní proměnnou se odkazuje ve výrazu po zachycení z předchozí shody regulárního výrazu.
V tomto případě selže dvoufázové vyhodnocování. První fáze změří, kolik bajtů výsledek potřebuje a alokuje pro něj odpovídající buffer. Druhá fáze do něj pak samotné bajty zapíše. Obě fáze čtou stejný sdílený stav zachycených proměnných. Vyhodnocení regulárního výrazu mapy mezi těmito dvěma fázemi ovšem tento stav přepíše na jinou hodnotu.
(Zdroj: The Hacker News)
