.unsec

CVE-2026-42533: переполнение буфера в NGINX при обработке `map` и регулярных выражений В NGINX Open Source и NGINX Plus устранена уязвимость типа heap-based buffer overflow — CWE-122. Ошибка находится в механизме вычисления complex values, используемом директивой map при сопоставлении по регулярному выражению. CVSS v4.0 — 9.2 Critical, CVSS v3.1 — 8.1 High. Уязвимая конфигурация возникает, когда: • map выполняет regex-сопоставление; • строковое выражение обращается к capture-переменным регулярного выражения до обращения к выходной переменной map; • либо в выражении используется non-cacheable переменная, длина которой может измениться во время обработки запроса. NGINX script engine обрабатывает такие выражения в несколько проходов: сначала вычисляет размер результирующего буфера, затем копирует значения переменных. Regex-сопоставление или повторное вычисление переменной может изменить состояние capture-групп между этими операциями. В результате размер, рассчитанный на первом проходе, оказывается меньше объёма данных, записываемого на втором, что приводит к записи за границы heap-буфера. Исправление добавляет указатель конца буфера e->end и проверку ngx_http_script_check_length() перед операциями копирования. Эксплуатация выполняется удалённо без аутентификации с помощью специально сформированного HTTP-запроса, однако требует наличия подходящей конфигурации NGINX. Переполнение происходит в worker-процессе и может вызвать его аварийное завершение и перезапуск, создавая отказ в обслуживании. Выполнение произвольного кода возможно на системах с отключённым ASLR либо при наличии способа обхода ASLR. Уязвимость относится к data plane и не предоставляет прямого доступа к control plane. Затронутые версии: • NGINX Open Source: 0.9.6–1.31.2; • NGINX Plus: R33–R36, а также 37.0.0.1–37.0.2.1. Исправленные версии: • NGINX stable: 1.30.4; • NGINX mainline: 1.31.3; • NGINX Plus R36: R36 P7; • NGINX Plus R37: 37.0.3.1. Основная мера устранения — обновление до исправленной версии. Для временного снижения риска F5 рекомендует исключить безымянные capture-группы, использовать уникальные именованные capture-переменные только внутри блока с соответствующим regex-сопоставлением и не переиспользовать одинаковые именованные capture-переменные в разных директивах. Конфигурацию следует проверять по полному выводу nginx -T, включая подключаемые файлы и автоматически сгенерированные конфигурации.