freenginxis ja nginxis on lisatud kontrolli tekstimuutuja suuruse üle enne, kui sinna andmeid kirjutada (+ CVE)

3

TL;DR: Seistud mängus, kus avastati kolmas 2026. aasta puhverülevool (ja F5 hinnangul RCE, kui ASLR pole rakendatud) regexide ja muutujate töötlemisel, otsustas freenginx arendaja Maksim Dunin, et on aeg see lõpetada, ning lisas oma tootes kontrolli muutuja suuruse üle enne, kui sinna andmeid kirjutada. Sellest uuendusest varastati ka nginx, mis annab lootust, et uued CVE-d selle teema ümber lõpetatakse.

Nüüd on detailid.

19. juunil tehti komiteed freenginxis, lisades muutuja descriptorisse endi välja, mis näitab puhvri lõppu. Varem oli seal vaid alguse viit (pos), vajalik pikkus arvutati (ja arvutatakse endiselt) eelnevalt ning andmete kopeerimise ajaks eeldati, et õigesti arvutatud pikkus tagab, et andmed mahuvad puhvri sisse. Kahjuks on see juba kaks korda 2026. aasta mais erinevate tähelepanematuste tõttu nii olnud (1 (linux.org.ru), 2 (linux.org.ru)), mis viis puhverülevooludeni ja halva tagajärjeni. Nüüd, kui muutuja puhver luuakse, täidetakse ka selle lõppu viit, ja enne andmete kirjutamist muutuja sisse, kui andmed ei mahu sinna, töötlus lõpetatakse kontrollitult veaga. See tähendab, et pikkuse arvutamise vead võivad endiselt esineda, kuid nüüd ei purusta nad mälu, vaid lihtsalt ebaõnnestuvad konkreetse http-päringu osas. Järgmised kohandused (2 (freenginx.org), 3 (freenginx.org)) lisasid sarnase kaitse koodis teistesse kohtadesse, sealhulgas pääsulogide haldamise koodi. 7. juulil avaldati versioon freenginx 1.31.3, mis sisaldab seda parandust.

15. juulil kohandati neid commite nginxis (1 (github.com), 2 (github.com), 3 (github.com), kuid mingil põhjusel vahetati teise ja kolmanda koha omavahel), probleemile anti nimetus CVE-2026-42533, ja F5 avaldas ametliku SA (f5.com).

Seoses konkreetse haavatavusega seekord: see ilmneb direktiivi map kasutamisel koos regulaaravaldistega, mis sisaldavad eraldatud parameetreid. Seoses teiste vajalike tingimustega, mis selle aktiveerimiseks on vajalikud, on kommitsemise kirjelduse tekst ja SA tekst veidi erinevad: SA-s on märgitud, et hiljem peaks olema mingisugune stringi arvutamine, mis kasutab map'ist jäänud eraldatud parameetrit enne selle sama map'i tulemust. Kommitsemise kirjelduse näites osaleb nende sammude vahel veel muutuja nullimine, mis sisaldab eraldatud parameetrit. Igal juhul on tõenäoliselt enamikus käivitatud nginx'ides seda harva, ning seetõttu on haavatavus seega vähesed inimesi puudutanud. Tuleb samuti märkida, et just selles juhtumis ei tundu, et oleks olemas parandusi pikkuse arvutamiseks tehtud tehtud commitides (või ma ei leidnud neid hästi?), on olemas vaid kaitse, mis muudab probleemi kontrollitavaks http-päringu veaks. Kuigi 19. juulil lisati freenginx'isse mingeid parandusi,5bfb, 7622, b906) pikkuse arvutamiseks sarnases olukorras, kuid kohe ei saa aru, kas see on see või mitte.

Haavatavus tekkis nginx 0.9.6 versioonis, parandused jõudsid freenginx 1.31.3, nginx 1.30.4, nginx 1.31.3 versioonidesse.

SA-s on nginx'is tänatud mitmeid isikuid sõltumatute hoiatuste eest haavatavuse kohta ja „koordineeritud teabe avaldamise standardite” järgimise eest:

F5 tunnustab Ming Xuan'i, DKD (@pidifn), Ji’an Zhou'd ja Zhen Yan'i AntAISecurityLab'ist, Rafael Gaceki, Sergii Negodiuki EVO.company'st, Lam Jun Rong'i Calif.io'st, Mufeed VH Winfunc Research'ist (winfunc.com), Vexera AI (https://vexera.ai), Tu Tran Dinh (@1w4y), Stan Shaw (cyberstan), qianshuidewajueji, zenneth (randomguy6407), Zhenpeng (Leo) Lin depthfirst'ist, Lukas Johannes Moeller, Melih Tolga Sahin Vodafone Türkiye'st, Ayoub Nabil Boubagrat (GitHub: @ayoubnabil) ja Milan Jovic (Kljunowsky), kes tõid selle probleemi meie tähelepanu ja järgivad kõrgeimaid koordineeritud avaldamise standardeid.

Freenginx'is piiratakse paranduse kohta lisainformatsiooni tegelikult ainult commit'i sõnumiga. 🥇Python 3.13 | ProHoster-s on see parandamine isegi mitte märgitud ei „turvafirma” (security) ega „parandamine” (bugfix) allkirjaga, lihtsalt „lisamine” (feature). Tõenäoliselt ei pidanud autor seda probleemi kriitiliseks. Kuidas on F5 poolt teavitavad sõnumid seotud juurdepääsuga freenginx'i commit'ile, kas nad (või keegi teine) teatasid probleemist freenginx autorile, ei õnnestunud välja selgitada.

Allikas: linux.org.ru