CVE-2026-42945: Buffer overflow nel modulo rewrite di NGINX

Heap buffer overflow in NGINX rewrite module con PCRE capture groups. CVSS 8,1, possibile RCE.

Il CVE-2026-42945 è una vulnerabilità di heap buffer overflow nel modulo ngx_http_rewrite_module di NGINX Plus e NGINX Open Source. La falla si manifesta quando la direttiva rewrite è seguita da rewrite, if, o set con unnamed PCRE capture group ($1, $2) e question mark (?) nel replacement string. Un attaccante non autenticato può sfruttarla inviando richieste HTTP crafted, causando il riavvio del processo worker o, su sistemi senza ASLR, potenzialmente eseguire codice arbitrario.

La vulnerabilità ha CVSS 8,1 (high severity) ed è stata pubblicata il 13 maggio 2026. Non sono segnalati attacchi attivi. Un segnale su GitHub del 29 ottobre 2026 mostra materiale educativo sulla falla. La configurazione richiesta (rewrite con unnamed PCRE capture e question mark nel replacement) limita gli ambienti esposti, ma NGINX è diffuso in infrastrutture critiche, rendendo l'impatto potenziale significativo.

Per mitigare questa vulnerabilità, è essenziale verificare le versioni di NGINX in uso e applicare le patch di sicurezza. Controllare le configurazioni di rewrite nel file nginx.conf per identificare direttive vulnerabili: rewrite seguita da rewrite/if/set con unnamed PCRE capture group ($1, $2, ecc.) e question mark nel replacement. Se impossibile aggiornare subito, disabilitare rewrite non essenziali, limitare accesso tramite firewall/WAF, e monitorare i log dei worker NGINX per segnali di crash.

In sintesi

Cosa: Heap buffer overflow nel modulo ngx_http_rewrite_module quando rewrite è seguita da rewrite/if/set con unnamed PCRE capture ($1, $2) e question mark (?) nel replacement string. Richiede richieste HTTP crafted non autenticate.
Gravità: CVSS 8,1 (High severity). Causa riavvio del processo worker; su sistemi senza ASLR o con ASLR bypassabile, potenziale esecuzione di codice arbitrario.
Versioni interessate: NGINX Plus e NGINX Open Source. Software con End of Technical Support (EoTS) non sono valutati. Versioni esatte non riportate nella NVD.
Correzione: Applicare patch di sicurezza ufficiali da Nginx Inc. non appena disponibili. Numeri di versione patched non riportati.
Stato: Nessun sfruttamento attivo segnalato al 29 ottobre 2026. Materiale educativo disponibile su GitHub ma non exploit autentici.
Azione: Verificare nginx.conf per pattern vulnerabili (rewrite con unnamed PCRE capture e question mark). Applicare patch. Se impossibile, disabilitare rewrite non essenziali, monitorare crash worker, limitare accesso via firewall/WAF.

Fonti: NVD, CVE-2026-42945

← Tutti gli articoli