Ny sårbarhet i rewrite-modulen nginx

Kort tid etter oppdagelsen 18-åring ble det oppdaget en annen potensiell RCE, CVE-2026-9256, denne gangen har den eksistert enda lenger – 21 år, fra versjon 0.1.17 utgitt tidlig i 2005.
For å utnytte sårbarheten må serverkonfigurasjonen ha en rewrite-direktiv som:

• i det første argumentet har overlappende valgte parametere for regulære uttrykk,
• i det andre brukes to eller flere av dem, men ingen variabler brukes,
• og enten er typen «redirect» angitt, eller parametrene i det andre argumentet kommer etter spørsmålstegnet.

Eksempler:
rewrite ^\/((.*))$ http:\/\/127.0.0.1:8080\/$1$2 redirect;
rewrite ^\/((.*))$ http:\/\/127.0.0.1:8080\/?$1$2;

Begge vil få et buffer overflow når de håndterer forespørselen «\/++++++++++++++++++++++++++++++.«

Som i den forrige sårbarheten kan den beregnede lengden på bufferen skille seg fra det virkelige antallet data som skrives til den – i beregningen av lengden ble ikke mulig escaping alltid tatt hensyn til.

Det ovenstående kan føre til at nginx arbeidsprosessen krasjer, og ved fravær av ALSR kan det føre til RCE. Som en formildende faktor kan det nevnes at det er enda mindre sannsynlighet for å finne sårbare konstruksjoner i konfigurasjonen enn sist.

Feilen er rettet i versjoner 1.30.2 og 1.31.1 (kommitté for retting).

Kilde: linux.org.ru