🥇 Nginx 1.31.0 uuendus RCE-haavatavuse kõrvaldamiseks, mida saab kasutada HTTP-päringu kaudu

Välja on antud nginx 1.31.0 põhiversioon, mille raames jätkub uute võimaluste arendamine ning samal ajal avaldatakse paralleelselt toetav stabiilne versioon nginx 1.30.1, kuhu kantakse ainult tõsiste vigade ja haavatavuste kõrvaldamisega seotud muudatused. Uuendustes on kõrvaldatud 6 haavatavust, mille seas on kõige ohtlikum, mis võimaldab kauget koodi täitmist, saates spetsiaalselt koostatud HTTP-päringu. Angie ja freenginx jaoks pole uudise kirjutamise ajal parandusi avaldatud.

Haavatavus (CVE-2026-42945), millele on määratud kriitiline ohtlikkuse tase, on põhjustatud mälupuhvri ülevoolust ngx_http_rewrite_module moodulis, mida saab ära kasutada koodi täitmiseks nginx tööprotsesside õigustes, saates HTTP-päringu spetsiaalselt koostatud URI-ga. Probleem ilmneb konfiguratsioonides, kus kasutaakse «rewrite» direktiivi, kus regulaarsetes väljendes kasutatakse varjatud muutujaid (nt $1 ja $2), tingimusel et asendustekst sisaldab sümbolit «?». Näide haavatavast struktuurist: rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

Nimeeritud asenduste väljendid ei ole haavatavad. Näiteks ei mõjuta haavatavus ehitisi: rewrite ^/users/(?[0-9]+)/profile/(?

.*)$ /profile.php?id=$user_id&tab=$section last;

Haavatavus on olemas alates versioonist 0.6.27, mis anti välja 2008. aasta märtsis. Haavatavuse põhjuseks oli see, et puhvers mälu eraldati eeldusel, et sinna kirjutatakse mitte-escapitud andmed, kuid tegelikult kopeeriti andmed, pärast spetsiaalsete märkide escapesimist, mille suurus oli suurem, kuna iga märk „+”, „%” ja „&” kodeeriti mitte ühe, vaid kolme baitiga. Selline ebakõla tekkis seetõttu, et rida rewrite märgi „?” juures seati lipp „e->is_args”, mille korral aktsepteeriti escapesimist, kuid puhvers mälu eraldamine toimus lülitatud lipu puhul, mille korral escapesimist ei rakendatud.

Teised haavatavused:

CVE-2026-42926 — ründaja andmete asendamise võimalus vahepealses päringus, kui kasutatakse seadet „proxy_set_body” ja pöördutakse tagapool läbi HTTP/2 (proxy_http_version=2).
CVE-2026-40701 — mälule pääs pärast selle vabastamist (use-after-free) ngx_http_ssl_module moodulis, mis tekib vastuseid töödeldes DNS-serverilt konfiguratsioonides, kus on määratud direktiiv «ssl_ocsp».
CVE-2026-42946 — lugemine mälust, mis jääb puhvrist väljapoole, ngx_http_uwsgi_module ja ngx_http_scgi_module moodulites, mis tekib spetsiaalselt valmistatud vastuse töötlemisel. Probleem võib viia tööprotsessi mälu sisu leketeni või selle kokkuvarisemiseni.
CVE-2026-42934 — lugemine mälust, mis jääb puhvrist väljapoole, tööprotsessis, mis tekib UTF-8 dekodeerimisega vastuste töötlemisel direktiivi «charset_map» kasutamisel. Probleem võib viia tööprotsessi mälu sisu leketeni või selle kokkuvarisemiseni.
CVE-2026-40460 — haavatavus HTTP/3 protokolli rakenduses, mis võimaldab petmist IP-aadressid autentimise või piirangute ületamiseks.

Parendused, mis lisati nginx 1.31.0 väljaandesse:

Komplekti kuulub ngx_http_tunnel_module moodul, mis võimaldab töötada pöördproksina, mis suunab päringud teisele serverile kliendi pöördumise ajal HTTP/1.1 CONNECT meetodi abil. Proksile juurdepääsu autentimist saab seadistada, kasutades direktiive «auth_basic», «satisfy» ja «auth_delay».
«upstream» plokki on lisatud direktiiv «least_time», mis aktiveerib laadimise tasakaalustamise meetodi, mis edastab päringu serverile minimaalse keskmise vastusaja ja vähimaktiivsete ühendustega.
«stream_proxy» moodulisse on lisatud direktiiv «proxy_ssl_alpn», et määrata lubatud protokollide nimekiri ALPN laienduse korral proksitava serveriga ühenduse loomisel. Näiteks: «proxy_ssl_alpn h2 http/1.1».
Tagatud on päringute keeldumine protokollide HTTP/2 ja HTTP/3 puhul, mis sisaldavad päiseid «Connection», «Proxy-Connection», «Keep-Alive», «Transfer-Encoding», «Upgrade».
ngx_http_dav_module moodulis on tagatud päringute COPY ja MOVE keeldumine, kui esinevad korduvad lähte- ja sihtressursid või pesaüksused.
Veateate logimise tase SSL «invalid alert», «record layer failure» ja «SSL alert number N» on alandatud «crit» tasemelt «info» tasemele.
Konfigureerimise skripti on lisatud parameeter „—without-http_upstream_sticky_module”, et keelata http_upstream_sticky_module mooduli kompileerimine (parameeter „—without-http_upstream_sticky” on kuulutatud vananenuks).

Täiendav teave: RCE-haavatavuse eksploitatsioon ngx_http_rewrite_module jaoks on saadaval.

Allikas: opennet.ru

Nginx 1.31.0 uuendus RCE-haavatavuse kõrvaldamisega, mille kaudu on võimalik rünnata HTTP-päringu kaudu.