18-aastane RCE nginx-is (CVE-2026-42945)

13. mai parandati haavatavus populaarse veebiserveri nginx'is, mis on mõeldud koormatud süsteemide jaoks: CVE-2026-42945, mis võib potentsiaalselt viia RCE-ni. Haavatavus ilmus 18 aastat tagasi (2008. aastal) versioonis 0.6.27.

Kohaliku serveri konfiguratsioonis peab olema teatud kombo direktiive, mis ei pruugi kõikjal esineda, kuid võib esineda järgmine:
rewrite ^(.*) \/new?c=1;
set $myvar $1;
return 200 $myvar;

Olulised detailid:

• esimesena tuleb direktiiv rewrite, kus (esimene argument) regulaarselt väljendatud ja väljajätmisi sisaldav parameeter (midagi sulgudes) asendatakse (teise argumendiga) teega, mis sisaldab küsimärki;
• direktiiv set (selle asemel võib kasutada ka teist rewrite'i või if-i), mis kasutab allika pereselgelt väljajätmist (antud juhul $1).

Haavatavus töötab järgmiselt:

• esimene direktiiv rewrite, kui see puutub küsimärgiga kokku, seadistab sisemise flagi is_args, mis tähendab, et "praegu kogume GET parameetreid asendatud URL-ist, kõik tuleb escapesida", ja (see ongi vea tuum) unustab selle flagi oma töö lõpus lähtestada;
• järgneva set-käsk, kui määratakse väärtust $myvar, rakendab ekslikult varem seadistatud is_args'i ja kirjutab my_var'i escape'itud väärtuse väljavalitud parameetrist $1; probleemiks on see, et $myvar'i jaoks eraldatud puhversüsteem luuakse varem, juba enne asenduste tegemist, ja selle pikkus arvestatakse is_args=0, mis tähendab, et escape'itud väärtus osutub pikemaks kui eraldatud puhver, mistõttu kirjutamine toimub väljaspool eraldatud puhversüsteemi ja muudab serveri andmestruktuure. Selleks, et see juhtuks, piisab, kui saata päring, mis sisaldab escape'imist vajavaid sümboleid, näiteks plussmärke, regulaaravaldiste parameetrimäära kohas.

Kui hostil pole ALSR-i, siis seda haavatavust saab kasutada kaugtöötluse koodi täitmiseks nginx'i töökeskkonna õigustes. PoC (seal ei ole puhtalt exploit'i, demonstreerimine liivakastis).

Haavatavus on parandatud stabiilses haru nginx 1.30.1 ja uues arendusversioonis 1.31.0. link kommitile.

On tähelepanuväärne, et 14 aastat tagasi (2012. aastal) sarnane viga oli juba parandatud teises kohas kõrval.

——-

F5 veebisaidil on soovitus ajutiselt leevendada haavatavust, kui nginx versiooni kiiresti uuendada ei õnnestu — asendage nimeta parameetrid nimetatud parameetritega, ja sel juhul, nende sõnul, haavatavus ei ilmu. Näide sealt:
oli: rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;
on: rewrite ^/users/(?<user_id>[0-9]+)/profile/(?<section>.*)$ /profile.php?id=$user_id&tab=$section last;

Teave haavatavuse kohta esitas Zhenpeng (Leo) Lin DepthFirst'ist. Lisaks teatas ta ka järgmistest probleemidest, mis on samuti parandatud:

• CVE-2026-40701 (kommitt) use-after-free, kui kasutatakse ssl_verify_client+ssl_ocsp (näib, et ilma RCE-ta)
• CVE-2026-42934 (kommitt) mälu ületamine utf-8 parseris spetsiifilistes tingimustes, mis võib põhjustada väikese andmeleket või tööprotsessi krahhi
• CVE-2026-42946 (kommitt) liigne mälulubamine ja mälu ületamine scgi/uwsgi moodulite kasutamisel, probleem ilmneb pahatahtliku tagaplaani (upstream) olemasolul, kasutades nimetatud protokolle, või man-in-the-middle suhtlemisel tagaplaaniga, mis võib viia nginx mälu lugemise või tööprotsessi krahhini.

Allikas: linux.org.ru