Nginx 1.31.0 värskendus RCE-haavatavuse kõrvaldamiseks, mida on võimalik kasutada HTTP-päringu kaudu

Nginx põhivaru versiooni 1.31.0 väljaanne on vormistatud, mille raames jätkuvad uusi võimalusi arendamine, samuti paralleelselt toetatava stabiilse versiooni 1.30.1 väljaanne, kuhu tehakse ainult tõsiste vigade ja haavatavuste kõrvaldamiseks vajalikke muudatusi. Uuendustes on kõrvaldatud 6 haavatavust, millest kõige ohtlikum võimaldab kaugelt koodi täitmist spetsiaalselt vormistatud HTTP-päringu saatmise kaudu. Angie ja freenginx jaoks ei ole uudise kirjutamise hetkel parandusi avaldatud.

Haavatavus (CVE-2026-42945), millele on antud kriitiline oht, on põhjustatud puhver ülevoolust ngx_http_rewrite_module moodulis, mida saab ära kasutada koodi täitmiseks nginx tööprotsessi õigustes, saates HTTP-päringu koos spetsiaalselt vormistatud URI-ga. Probleem ilmneb konfiguratsioonides, kus on kasutatud "rewrite" direktiivi, kus regulaaravaldises kasutatakse asendusi nimetud muutujate kaudu (näiteks $1 ja $2), tingimusel, et asendamiseks mõeldud stringis on märk "?". Näide haavatavast konstruktsioonist: rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

Nimeliste asendustega konstruktsioonid ei ole haavatavad. Näiteks haavatavus ei mõjuta konstruktsioone: rewrite ^/users/(?<user_id>[0-9]+)/profile/(?<section>.*)$ /profile.php?id=$user_id&tab=$section last;

Haavatavus on olemas alates versioonist 0.6.27, mis avaldati märtsis 2008. Haavatavuse põhjuseks on see, et puhver eraldati oletatavalt selleks, et sinna kirjutatakse mitte-escapitud andmed, kuid tegelikult kopeeriti andmed, mille formaat koosnes erisümbolite escaping'ust, mille suurus oli suurem, kuna iga märk „+”, „%” ja „&” kodeeriti mitte ühe, vaid kolme baitiga. Selline diskrepants tekkis, kuna rewrite reegli puhul, kus on märk „?”, seati lipp „e->is_args”, mille korral käivitati escaping, kuid puhvri eraldamine tehti为了 lippu, mille korral escaping'ut ei rakendatud.

Teised haavatavused:

• CVE-2026-42926 — ründaja andmete asendamise võimalus edastatud päringus, kui kasutatakse direktiivi "proxy_set_body" seadeid ja pöördutakse võrgu kaudu bäkendi poole HTTP/2 (proxy_http_version=2).
• CVE-2026-40701 — juurdepääs mälule selle vabastamise järel (use-after-free) ngx_http_ssl_module moodulis, mis tekib DNS-serverilt saadud vastuste töötlemisel konfigureerimistes, kus on kasutatud direktiivi «ssl_ocsp».
• CVE-2026-42946 — mälualast lugemine üle piiri ngx_http_uwsgi_module ja ngx_http_scgi_module moodulites, mis tekib spetsiaalselt vormistatud vastuse töötlemisel. Probleem võib põhjustada tööprotsessi mälusisalduse leket või selle kokkukuulumise.
• CVE-2026-42934 — lugemine mälust üle piiri tööprotsessis, mis tekib vastuste töötlemisel UTF-8 kodeeringust dekodeerimisel, kui kasutada direktiivi «charset_map». Probleem võib viia tööprotsessi mälusisalduse leketeni või selle kokkukuulumiseni.
• CVE-2026-40460 — haavatavus HTTP/3 protokolli rakenduses, mis võimaldab petmist. IP-aadressid autoriseerimise või piirangute ületamiseks.

Parandused, mis on lisatud nginx 1.31.0 väljaandesse:

• Sisse on viidud ngx_http_tunnel_module moodul, mis võimaldab töötada edastusproksi (forward proxy) režiimis, suunates kliendi päringud teisele serverile, kasutades HTTP/1.1 CONNECT meetodit. Proksi kasutamise autentimise seadistamine on võimalik, kasutades direktiive «auth_basic», «satisfy» ja «auth_delay».
• Blookerisse «upstream» on lisatud direktiiv «least_time», mis hõlmab laadimisjuhtimise meetodit, mis edastab päringu serveri madalaima keskmise vastusaja ja kõige madalama aktiivsete ühenduste arvuga.
• «stream_proxy» moodulisse on lisatud direktiiv «proxy_ssl_alpn», et määrata lubatud protokollide loetelu ALPN laienduses proksitavasse serverisse ühenduse loomisel. Näiteks: «proxy_ssl_alpn h2 http/1.1».
• On tagatud päringute tagasilükkamine HTTP/2 ja HTTP/3 protokollide puhul, sealhulgas päistega «Connection», «Proxy-Connection», «Keep-Alive», «Transfer-Encoding», «Upgrade».
• ngx_http_dav_module moodulis on tagatud COPY ja MOVE päringute tagasilükkamine, mis sisaldavad korduvaid alg- ja sihtressursse või pesa kogusid.
• Veateate logimise tase SSL «invalid alert», «record layer failure» ja «SSL alert number N» on alandatud «crit» tasemelt «info» tasemele.
• configure skripti on lisatud parameeter «—without-http_upstream_sticky_module», et keelata http_upstream_sticky_module mooduli koostamine (parameeter «—without-http_upstream_sticky» on kuulutatud vananenuks).

Lisa: RCE-haavatavuse exploiti on saadaval ngx_http_rewrite_module'is.

Allikas: opennet.ru