{"id":182826,"date":"2026-08-11T04:54:22","date_gmt":"2026-08-11T02:54:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve"},"modified":"2026-08-11T04:54:22","modified_gmt":"2026-08-11T02:54:22","slug":"v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve","title":{"rendered":"In freenginx en nginx is een controle op de grootte van tekstvariabelen toegevoegd voordat er gegevens in worden geschreven (+ CVE)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

<\/i><\/a>
3 <\/p>\n

TL;DR<\/b>: Toen hij geconfronteerd werd met de derde buffer overflow die in 2026 werd ontdekt (en volgens F5, RCE als ASLR niet aanwezig is) tijdens het werken met regex en variabelen, besloot de ontwikkelaar van freenginx, Maxim Dunin, dat het tijd was om dit te stoppen, en voegde hij een controle van de variabele grootte toe voordat hij gegevens erin schrijft. Dit nieuwe idee werd vervolgens overgenomen door nginx, wat de hoop biedt dat nieuwe CVE's over dit onderwerp zullen verdwijnen.<\/p>\n

Hier zijn de details.<\/p>\n

Op 19 juni werd er gemaakt commit<\/a> in freenginx, dat een eindveld toevoegt aan de variabele beschrijving, wat aangeeft waar de buffer eindigt. Eerder was er alleen een aanduiding van het begin (pos), de benodigde lengte werd van tevoren berekend (en wordt nog steeds berekend), en op het moment van kopi\u00ebren van gegevens naar de variabele werd aangenomen dat de eerder correct berekende lengte zou garanderen dat de gegevens in de buffer pasten. Helaas is dit al twee keer in mei 2026 verkeerd gegaan vanwege verschillende omissies (1 (linux.org.ru)<\/a>, 2 (linux.org.ru)<\/a>), wat leidde tot buffer overflows en slechte gevolgen. Nu, bij het aanmaken van de buffer, wordt ook een aanwijzer naar het einde ervan ingevuld, en voordat gegevens naar de variabele worden geschreven, zal de verwerking van het verzoek gecontroleerd worden be\u00ebindigd met een foutmelding als de gegevens niet in de variabele passen. Dit betekent dat fouten in het berekenen van de lengte nog steeds kunnen voorkomen, maar ze zullen nu niet meer het geheugen aanpakken, maar eenvoudig een specifieke http-verzoek laten falen. In de volgende commits (2 (freenginx.org)<\/a>, 3 (freenginx.org)<\/a>) werd een vergelijkbare bescherming aan andere delen van de code toegevoegd, inclusief de code voor het bijhouden van de access log. Op 7 juli werd versie freenginx 1.31.3<\/a>, die deze correctie bevatte, uitgebracht.<\/p>\n

<\/p>\n

Op 15 juli werden deze commits overgenomen door nginx (1 (github.com)<\/a>, 2 (github.com)<\/a>, 3 (github.com)<\/a>, waarbij de tweede en derde in de keten om de een of andere reden omgewisseld zijn), en het probleem kreeg het nummer CVE-2026-42533<\/a>, en F5 heeft een offici\u00eble SA (f5.com)<\/a>.<\/p>\n

<\/noindex><\/p>\n

Wat betreft de specifieke kwetsbaarheid dit keer: deze komt voor bij het gebruik van de map-directive met reguliere expressies met geselecteerde parameters. Wat betreft de andere voorwaarden voor het activeren ervan, verschillen de tekst in de commit-beschrijving en de tekst in de SA iets: in de SA is vermeld dat er later een bepaalde string moet worden berekend die gebruikmaakt van de geselecteerde parameter, die is overgebleven van map, eerder dan het resultaat van dezezelfde map. In de beschrijving van de commit is er in het voorbeeld tussen deze stappen ook een reset van de variabele die de geselecteerde parameter bevat. Hoe dan ook, de meeste draaiende nginx-instanties zullen dergelijke situaties waarschijnlijk niet tegenkomen, en de kwetsbaarheid heeft daardoor waarschijnlijk maar weinig mensen geraakt. Het is ook belangrijk op te merken dat het herstel van de lengtemeting specifiek in dit geval in de gecommitteerde wijzigingen lijkt te ontbreken (of heb ik slecht gezocht?), er is alleen bescherming die het probleem omzet in een gecontroleerde HTTP-verzoekfout. Echter, op 19 juli zijn in freenginx enkele correcties toegevoegd (5bfb<\/a>, 7622<\/a>, b906<\/a>) voor de lengtemeting voor een soortgelijke situatie, maar het is niet meteen duidelijk of dit dat is of niet. <\/p>\n

De kwetsbaarheid is ontstaan in versie nginx 0.9.6, de correcties zijn opgenomen in freenginx 1.31.3, nginx 1.30.4, nginx 1.31.3.<\/p>\n

In SA nginx worden dankbetuigingen aan verschillende personen vermeld voor hun onafhankelijke meldingen over kwetsbaarheden en het naleven van \"standaarden voor geco\u00f6rdineerde onthulling\":<\/p>\n

<\/p>\n

F5 erkent Ming Xuan, DKD (@pidifn), Ji\u2019an Zhou en Zhen Yan van AntAISecurityLab, Rafael Gacek, Sergii Negodiuk van EVO.company, Lam Jun Rong van Calif.io, Mufeed VH van Winfunc Research (winfunc.com), Vexera AI (https:\/\/vexera.ai<\/a>), Tu Tran Dinh (@1w4y), Stan Shaw (cyberstan), qianshuidewajueji, zenneth (randomguy6407), Zhenpeng (Leo) Lin van depthfirst, Lukas Johannes Moeller, Melih Tolga Sahin van Vodafone T\u00fcrkiye, Ayoub Nabil Boubagrat (GitHub: @ayoubnabil) en Milan Jovic (Kljunowsky) voor het onafhankelijk onder de aandacht brengen van dit probleem en het volgen van de hoogste normen voor geco\u00f6rdineerde openbaarmaking.<\/p>\n

<\/noindex><\/p><\/blockquote>\n

In freenginx wordt de bijbehorende informatie over de correctie feitelijk beperkt tot een melding bij de commit. In changelog<\/a>- deze correctie is zelfs niet gemarkeerd met een \"beveiliging\" (security) of \"correctie\" (bugfix), maar gewoon als \"toevoeging\" (feature). Het lijkt erop dat de auteur dit probleem niet als kritiek beschouwde. Hoe de meldingen over het probleem van de genoemde personen bij F5 zich verhouden tot de uit freenginx geleende commit, of ze (of iemand anders) het probleem aan de auteur van freenginx hebben gemeld, is niet duidelijk geworden. <\/p>\n

Bron: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

3 TL;DR: \u0421\u0442\u043e\u043b\u043a\u043d\u0443\u0432\u0448\u0438\u0441\u044c \u0441 \u0442\u0440\u0435\u0442\u044c\u0438\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u043c \u0437\u0430 2026 \u0433\u043e\u0434 \u043f\u0435\u0440\u0435\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435\u043c \u0431\u0443\u0444\u0435\u0440\u0430 (\u0438, \u043f\u043e \u0432\u0435\u0440\u0441\u0438\u0438 F5, RCE \u0435\u0441\u043b\u0438 \u043d\u0435\u0442 ASLR) \u043f\u0440\u0438 \u0440\u0430\u0431\u043e\u0442\u0435 \u0441 \u0440\u0435\u0433\u044d\u043a\u0441\u043f\u0430\u043c\u0438 \u0438 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u043c\u0438, \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a freenginx \u041c\u0430\u043a\u0441\u0438\u043c \u0414\u0443\u043d\u0438\u043d \u0440\u0435\u0448\u0438\u043b, \u0447\u0442\u043e \u043f\u043e\u0440\u0430 \u044d\u0442\u043e \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0430\u0442\u044c, \u0438 \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u0432 \u0441\u0432\u043e\u0439 \u043f\u0440\u043e\u0434\u0443\u043a\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0440\u0430\u0437\u043c\u0435\u0440\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043f\u0435\u0440\u0435\u0434 \u0442\u0435\u043c \u043a\u0430\u043a \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0432 \u043d\u0435\u0451 \u0434\u0430\u043d\u043d\u044b\u0435. \u041e\u0442\u0442\u0443\u0434\u0430 \u044d\u0442\u043e \u043d\u043e\u0432\u043e\u0432\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0443\u0442\u0430\u0449\u0438\u043b\u0438 \u043a \u0441\u0435\u0431\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":9,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-182826","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47In freenginx en nginx is een controle van de grootte van de tekstvariabele toegevoegd voordat er gegevens in worden geschreven (+ CVE) | ProHoster","description":"3 TL;DR: Geconfronteerd met de derde bufferoverloop die in 2026 is ontdekt (en, volgens F5.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/news\/v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 freenginx \u0438 nginx \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0440\u0430\u0437\u043c\u0435\u0440\u0430 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0439 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043f\u0435\u0440\u0435\u0434 \u0442\u0435\u043c \u043a\u0430\u043a \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0432 \u043d\u0435\u0451 \u0434\u0430\u043d\u043d\u044b\u0435 (+ CVE) | ProHoster","og:description":"3 TL;DR: \u0421\u0442\u043e\u043b\u043a\u043d\u0443\u0432\u0448\u0438\u0441\u044c \u0441 \u0442\u0440\u0435\u0442\u044c\u0438\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u043c \u0437\u0430 2026 \u0433\u043e\u0434 \u043f\u0435\u0440\u0435\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435\u043c \u0431\u0443\u0444\u0435\u0440\u0430 (\u0438, \u043f\u043e \u0432\u0435\u0440\u0441\u0438\u0438 F5.","og:url":"https:\/\/prohoster.info\/nl\/blog\/news\/v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-08-11T02:54:22+00:00","article:modified_time":"2026-08-11T02:54:22+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"182826","title":null,"description":null,"keywords":null,"keyphrases":{"focus":[],"additional":[]},"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-08-11 06:43:49","updated":"2026-08-11 06:43:49","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/182826","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=182826"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/182826\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=182826"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=182826"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=182826"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}