18-aastane RCE nginxis (CVE-2026-42945)

13. mai parandas populaarse nginx veebiserveri haavatavuse, mis on mõeldud koormatud süsteemide jaoks: CVE-2026-42945, mis võis potentsiaalselt viia RCE-ni. Haavatavus ilmus 18 aastat tagasi (2008. aastal) versioonis 0.6.27.

Selle kasutamiseks peab serveri konfiguratsioonis olema teatud direktiivide kombinatsioon, mis ei pruugi olla kõigis, kuid mõnes kohas esinev, näiteks järgnev:
rewrite ^(.*) \/new?c=1;
set $myvar $1;
return 200 $myvar;

Oluline teave:

• esimene on direktiiv rewrite, kus (esimene argument) regulaaravaldisega, mis sisaldab eristatud parameetrit (midagi sulgudes), asendatakse (teise argumendiga) teega, mis sisaldab küsimärki;
• direktiiv set (selle asemel sobib ka teine rewrite või if), mis kasutab eristatud parameetrit algses üle kirjutatud teest (antud juhul $1).

Haavatavus töötab nii:

• esimene direktiiv rewrite, sattudes küsimärgile, seadeb siseviiba is_args, mis tähendab "kokku kogume get-parameetreid asendatud url-i jaoks, tuleb kõik escape'ida", ja (ja see on vea olemus) unustab pärast oma tööd selle viiba lõpetada;
• järgmine direktiiv set, kui ta moodustab väärtust $myvar, rakendab ekslikult eelnevalt seadistatud is_args'i, ja kirjutab my_var'i eristatud parameetri $1 escaped väärtuse; probleem on selles, et $myvar'i vahemälu eraldatakse varem, veel enne asenduste tegemist, ja selle pikkus loetakse is_args=0, mis tähendab, et escaped väärtus on pikem kui eraldatud vahemälu, mis kutsub üles kirjutama väljaspool eraldatud vahemälu serveri teiste andmestruktuuride suunas. Selleks piisab, kui saata päring, millel on escape'ida vajavad sümbolid, näiteks plussmärk, eristatud regulaaravaldise parameetri kohas.

Kui hostil ei ole ALSR-i, siis saab seda haavatavust kasutada koodi kaugkäivitamiseks nginx'i tööhobuste õigustes, seal on PoC (seal ei ole puhta vormi exploit'i, vaid demonstreerimine liivakastis).

Haavatavus on parandatud nginx'i stabiilses versioonis 1.30.1 ja uues arendusversioonis 1.31.0. link komiteeringule.

Kohati on tähelepanuväärne, et 14 aastat tagasi (2012. aastal) parandati sarnane viga teises kohas. lähedal.

——-

F5 veebisaidil on soovitus ajutiseks haavatavuse neutraliseerimiseks juhul, kui nginx'i versiooni kiire uuendamine ei ole võimalik — tuleb asendada nimetu eraldusmärk nimelistega ja sel juhul, nende sõnul, haavatavus ei avaldu. Siit on näide:
oli: rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;
tuli: rewrite ^/users/(?[0-9]+)/profile/(?