{"id":182826,"date":"2026-08-11T04:54:22","date_gmt":"2026-08-11T02:54:22","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve"},"modified":"2026-08-11T04:54:22","modified_gmt":"2026-08-11T02:54:22","slug":"v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve","title":{"rendered":"W freenginx i nginx dodano sprawdzanie rozmiaru zmiennej tekstowej przed zapisaniem do niej danych (+ CVE)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

<\/i><\/a>
3 <\/p>\n

TL;DR<\/b>: W obliczu trzeciego wykrytego w 2026 roku przepe\u0142nienia bufora (a wed\u0142ug F5, RCE je\u015bli brak ASLR) podczas pracy z regexpami i zmiennymi, deweloper freenginx, Maksym Dunin, postanowi\u0142, \u017ce czas to zako\u0144czy\u0107 i doda\u0142 do swojego produktu sprawdzanie rozmiaru zmiennej przed zapisaniem do niej danych. Stamt\u0105d to nowo \u0432\u0432\u0435\u0434zenie zosta\u0142o zabrane do nginx, co daje nadziej\u0119 na zaprzestanie nowych CVE w tej sprawie.<\/p>\n

Teraz szczeg\u00f3\u0142y.<\/p>\n

19 czerwca dokonano commitu<\/a> w freenginx, kt\u00f3ry dodaje do opisu zmiennej pole end, wskazuj\u0105ce na koniec bufora. Wcze\u015bniej by\u0142 tylko wska\u017anik na jego pocz\u0105tek (pos), potrzebna d\u0142ugo\u015b\u0107 by\u0142a obliczana (i nadal jest obliczana) z wyprzedzeniem, a w momencie kopiowania danych do zmiennej zak\u0142adano, \u017ce prawid\u0142owo obliczona wcze\u015bniej d\u0142ugo\u015b\u0107 gwarantuje, \u017ce dane zmieszcz\u0105 si\u0119 w buforze. Niestety, ju\u017c dwa razy w maju 2026 roku z powodu r\u00f3\u017cnych przeocze\u0144 okaza\u0142o si\u0119, \u017ce tak nie jest (1 (linux.org.ru)<\/a>, 2 (linux.org.ru)<\/a>), co prowadzi\u0142o do przepe\u0142nie\u0144 bufora i z\u0142ych konsekwencji. Ot\u00f3\u017c teraz, podczas tworzenia bufora, zmienna jest r\u00f3wnie\u017c wype\u0142niana wska\u017anikiem na jej koniec, a przed zapisaniem danych do zmiennej, je\u015bli dane si\u0119 nie mieszcz\u0105, przetwarzanie \u017c\u0105dania b\u0119dzie kontrolowane i zako\u0144czy si\u0119 b\u0142\u0119dem. To znaczy, \u017ce b\u0142\u0119dy obliczenia d\u0142ugo\u015bci mog\u0105 si\u0119 zdarza\u0107 dalej, ale teraz nie b\u0119d\u0105 uszkadza\u0107 pami\u0119ci, a jedynie powodowa\u0107 niepowodzenia konkretnego zapytania http. Kolejnymi commitami (2 (freenginx.org)<\/a>, 3 (freenginx.org)<\/a>) dodano analogiczn\u0105 ochron\u0119 w innych miejscach kodu, w tym w kodzie prowadzenia logu dost\u0119pu. 7 lipca opublikowano wersj\u0119 freenginx 1.31.3<\/a>, kt\u00f3ra zawiera to poprawienie.<\/p>\n

<\/p>\n

15 lipca te commity zosta\u0142y zaadoptowane przez nginx (1 (github.com)<\/a>, 2 (github.com)<\/a>, 3 (github.com)<\/a>, dlaczego\u015b zamieniaj\u0105c miejscami drugi i trzeci w \u0142a\u0144cuchu), problemowi przypisano CVE-2026-42533<\/a>, a F5 wyda\u0142o oficjalne SA (f5.com)<\/a>.<\/p>\n

<\/noindex><\/p>\n

W odniesieniu do konkretnej luki tym razem: objawia si\u0119 ona przy u\u017cyciu dyrektywy map z wyra\u017ceniami regularnymi z wydzielonymi parametrami. W kwestii pozosta\u0142ych warunk\u00f3w koniecznych do jej wyzwolenia tekst w opisie commita i tekst w SA nieco si\u0119 r\u00f3\u017cni\u0105: w SA wskazano, \u017ce p\u00f3\u017aniej musi by\u0107 obliczona pewna strona, kt\u00f3ra wykorzystuje wydzielony parametr pozosta\u0142y z map, wcze\u015bniej ni\u017c wynik tego samego map. W opisie commita w przyk\u0142adzie mi\u0119dzy tymi krokami bierze jeszcze udzia\u0142 zerowanie zmiennej zawieraj\u0105cej wydzielony parametr. Niemniej jednak w wi\u0119kszo\u015bci uruchomionych nginx\u00f3w takie co\u015b prawdopodobnie si\u0119 nie zdarzy, a luka w ten spos\u00f3b dotkn\u0119\u0142a niewielu. Nale\u017cy r\u00f3wnie\u017c zauwa\u017cy\u0107, \u017ce poprawki obliczenia d\u0142ugo\u015bci konkretnie w tym przypadku w zakomitowanych poprawkach wydaj\u0105 si\u0119 nie by\u0107 (czy \u017ale szuka\u0142em?), jest tylko ochrona, kt\u00f3ra przekszta\u0142ca problem w kontrolowane niepowodzenie \u017c\u0105dania http. Chocia\u017c 19 lipca w freenginx dodano jakie\u015b poprawki (5bfb<\/a>, 7622<\/a>, b906<\/a>) obliczenia d\u0142ugo\u015bci dla podobnej sytuacji, ale na pierwszy rzut oka trudno powiedzie\u0107, czy to to, czy nie. <\/p>\n

Luka pojawi\u0142a si\u0119 w wersji nginx 0.9.6, poprawki trafi\u0142y do wersji freenginx 1.31.3, nginx 1.30.4, nginx 1.31.3.<\/p>\n

W SA nginx zawarto podzi\u0119kowania dla kilku os\u00f3b za niezale\u017cne zg\u0142oszenia dotycz\u0105ce luk w zabezpieczeniach oraz za przestrzeganie \u201estandard\u00f3w skoordynowanego ujawniania informacji\u201d:<\/p>\n

<\/p>\n

F5 dzi\u0119kuje Ming Xuan, DKD (@pidifn), Ji\u2019an Zhou oraz Zhen Yan z AntAISecurityLab, Rafaelowi Gacekowi, Sergii Negodiukowi z EVO.company, Lam Jun Rong z Calif.io, Mufeedowi VH z Winfunc Research (winfunc.com), Vexera AI (https:\/\/vexera.ai<\/a>), Tu Tran Dinh (@1w4y), Stan Shaw (cyberstan), qianshuidewajueji, zenneth (randomguy6407), Zhenpeng (Leo) Lin z depthfirst, Lukas Johannes Moeller, Melih Tolga Sahin z Vodafone T\u00fcrkiye, Ayoub Nabil Boubagrat (GitHub: @ayoubnabil) oraz Milan Jovic (Kljunowsky) za niezale\u017cne zwr\u00f3cenie uwagi na ten problem i przestrzeganie najwy\u017cszych standard\u00f3w skoordynowanego ujawniania.<\/p>\n

<\/noindex><\/p><\/blockquote>\n

W freenginx towarzysz\u0105ce informacje o poprawce praktycznie ograniczaj\u0105 si\u0119 do komunikatu w przy commit. W changelog<\/a>- ta poprawka nie jest oznaczona ani podpisem \u201ebezpiecze\u0144stwo\u201d (security), ani \u201epoprawka\u201d (bugfix), tylko \u201edodanie\u201d (feature). Prawdopodobnie autor nie uwa\u017ca\u0142 tego problemu za krytyczny. Nie uda\u0142o si\u0119 ustali\u0107, jak komunikaty o problemie od wspomnianych os\u00f3b odnosz\u0105 si\u0119 do commitu zapo\u017cyczonego z freenginx, czy informowali oni (lub kto\u015b inny) autora freenginx o tym problemie. <\/p>\n

\u0179r\u00f3d\u0142o: linux.org.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

3 TL;DR: \u0421\u0442\u043e\u043b\u043a\u043d\u0443\u0432\u0448\u0438\u0441\u044c \u0441 \u0442\u0440\u0435\u0442\u044c\u0438\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u043c \u0437\u0430 2026 \u0433\u043e\u0434 \u043f\u0435\u0440\u0435\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435\u043c \u0431\u0443\u0444\u0435\u0440\u0430 (\u0438, \u043f\u043e \u0432\u0435\u0440\u0441\u0438\u0438 F5, RCE \u0435\u0441\u043b\u0438 \u043d\u0435\u0442 ASLR) \u043f\u0440\u0438 \u0440\u0430\u0431\u043e\u0442\u0435 \u0441 \u0440\u0435\u0433\u044d\u043a\u0441\u043f\u0430\u043c\u0438 \u0438 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u044b\u043c\u0438, \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a freenginx \u041c\u0430\u043a\u0441\u0438\u043c \u0414\u0443\u043d\u0438\u043d \u0440\u0435\u0448\u0438\u043b, \u0447\u0442\u043e \u043f\u043e\u0440\u0430 \u044d\u0442\u043e \u043f\u0440\u0435\u043a\u0440\u0430\u0449\u0430\u0442\u044c, \u0438 \u0434\u043e\u0431\u0430\u0432\u0438\u043b \u0432 \u0441\u0432\u043e\u0439 \u043f\u0440\u043e\u0434\u0443\u043a\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0440\u0430\u0437\u043c\u0435\u0440\u0430 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043f\u0435\u0440\u0435\u0434 \u0442\u0435\u043c \u043a\u0430\u043a \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0432 \u043d\u0435\u0451 \u0434\u0430\u043d\u043d\u044b\u0435. \u041e\u0442\u0442\u0443\u0434\u0430 \u044d\u0442\u043e \u043d\u043e\u0432\u043e\u0432\u0432\u0435\u0434\u0435\u043d\u0438\u0435 \u0443\u0442\u0430\u0449\u0438\u043b\u0438 \u043a \u0441\u0435\u0431\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":9,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-182826","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47W freenginx i nginx dodano sprawdzanie rozmiaru zmiennej tekstowej przed zapisaniem do niej danych (+ CVE) | ProHoster","description":"3 TL;DR: Stykaj\u0105c si\u0119 z trzecim odkrytym w 2026 roku przepe\u0142nieniem bufora (i, zdaniem F5.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/news\/v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 freenginx \u0438 nginx \u0434\u043e\u0431\u0430\u0432\u0438\u043b\u0438 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0443 \u0440\u0430\u0437\u043c\u0435\u0440\u0430 \u0442\u0435\u043a\u0441\u0442\u043e\u0432\u043e\u0439 \u043f\u0435\u0440\u0435\u043c\u0435\u043d\u043d\u043e\u0439 \u043f\u0435\u0440\u0435\u0434 \u0442\u0435\u043c \u043a\u0430\u043a \u0437\u0430\u043f\u0438\u0441\u044b\u0432\u0430\u0442\u044c \u0432 \u043d\u0435\u0451 \u0434\u0430\u043d\u043d\u044b\u0435 (+ CVE) | ProHoster","og:description":"3 TL;DR: \u0421\u0442\u043e\u043b\u043a\u043d\u0443\u0432\u0448\u0438\u0441\u044c \u0441 \u0442\u0440\u0435\u0442\u044c\u0438\u043c \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u044b\u043c \u0437\u0430 2026 \u0433\u043e\u0434 \u043f\u0435\u0440\u0435\u043f\u043e\u043b\u043d\u0435\u043d\u0438\u0435\u043c \u0431\u0443\u0444\u0435\u0440\u0430 (\u0438, \u043f\u043e \u0432\u0435\u0440\u0441\u0438\u0438 F5.","og:url":"https:\/\/prohoster.info\/pl\/blog\/news\/v-freenginx-i-nginx-dobavili-proverku-razmera-tekstovoj-peremennoj-pered-tem-kak-zapisyvat-v-neyo-dannye-cve","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2026-08-11T02:54:22+00:00","article:modified_time":"2026-08-11T02:54:22+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"182826","title":null,"description":null,"keywords":null,"keyphrases":{"focus":[],"additional":[]},"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-08-11 06:43:49","updated":"2026-08-11 06:43:49","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/182826","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/9"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=182826"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/182826\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=182826"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=182826"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=182826"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}