Нова уязвимост в rewrite-модула на nginx

Скоро след откритията 18-годишен потенциален RCE беше открито още едно, CVE-2026-9256, този път съществувало още по-дълго - 21 години, от версия 0.1.17, издадена в началото на 2005 година.
За експлоатацията на уязвимостта е необходимо в конфигурацията на сървъра да има директива rewrite, в която:

• в първия аргумент има припокриващи се избираеми параметри на регулярното изражение,
• във втория се използват два или повече от тях, но не се използват променливи,
• като при това е указан типът "redirect", или параметрите във втория аргумент са след знака въпрос.

Примери:
rewrite ^/((.*))$ http://127.0.0.1:8080/$1$2 redirect;
rewrite ^/((.*))$ http://127.0.0.1:8080/?$1$2;

И двете ще получат преливане на буфера при обработка на заявката "/++++++++++++++++++++++++++++++".

Както и в предишната уязвимост, в този случай изчислената дължина на буфера може да не съвпада с реалното количество записани в него данни - при изчислението на дължината не навсякъде било отчетено възможното екраниране.

По-горе описаното може да доведе до срив на работния процес на nginx, а при отсъствие на ALSR - до RCE. Като смекчаващо обстоятелство може да се отбележи още по-ниската вероятност да срещнете уязвими конструкции в конфигурацията, отколкото предишния път.

Грешката е поправена в версиите 1.30.2 и 1.31.1 (комит на поправка).

Източник: linux.org.ru