Uus haavatavus nginx'i rewrite-modulis

Peagi pärast tuvastamist 18-aastane potentsiaalne RCE leiti veel üks, CVE-2026-9256, seekord püsis see isegi kauem – 21 aastat, alates versioonist 0.1.17, mis ilmus 2005. aasta alguses.
Vulnerabiilsuse ekspluateerimiseks on vajalik serveri konfigureerimises olemasolev rewrite-direktiiv, millel on:

• esimeses argumendis kattuvad regulaaravaldised,
• teisest kasutatakse kahte või enam, kuid muutujaid ei kasutata,
• samuti on kas määratud tüüp "redirect" või parameetrid teises argumentis asuvad küsimärgi järel.

Näited:
rewrite ^/((.*))$ http://127.0.0.1:8080/$1$2 redirect;
rewrite ^/((.*))$ http://127.0.0.1:8080/?$1$2;

Mõlemad saavad puhverületuse, kui töödeldakse päringut "//++++++++++++++++++++++++++++++".

Nagu eelneva haavatavuse puhul, võib ka siin arvestatud puhvri pikkus mitte kattuda sellesse tegelikult kirjutatud andmete arvuga – pikkuse arvutamisel ei ole kõikjal arvesse võetud võimalikke põgenemisi.

Ülaltoodud võib põhjustada nginx tööprotsessi krahhi, ja ALSR puudumisel RCE-d. Leevendavana võib märkida, et haavatavate konstruktsioonide olemasolu tõenäosus konfiguratsioonis on väiksem kui eelmisel korral.

Viga on parandatud versioonides 1.30.2 ja 1.31.1 (paranduse commit).

Allikas: linux.org.ru