Freenginx och nginx kontrollerar nu storleken på en textvariabel innan data skrivs till den (+ CVE)

3

TL; DREfter att ha stött på det tredje buffertöverflödet som upptäcktes 2026 (och, enligt F5, en RCE om det inte finns någon ASLR) när man arbetade med regexps och variabler, bestämde sig freenginx-utvecklaren Maxim Dunin för att det var dags att stoppa det och lade till en variabelstorlekskontroll i sin produkt innan data skrevs till den. Nginx har sedan dess kopierat den här funktionen, vilket ger hopp om att nya CVE:er relaterade till detta problem kommer att elimineras.

Nu till detaljerna.

19 juni gjordes begå i Freenginx, som lägger till ett slutfält till variabeldeskriptorn, vilket indikerar slutet på bufferten. Tidigare fanns det bara en pekare till dess början (pos), den erforderliga längden beräknades (och beräknas fortfarande) i förväg, och när data kopierades till variabeln antogs det att den korrekt beräknade längden skulle garantera att data skulle passa in i bufferten. Tyvärr har detta redan visat sig vara felaktigt två gånger i maj 2026 på grund av olika förbiseenden.1 (linux.org.ru), 2 (linux.org.ru)), vilket ledde till buffertöversvämningar och allvarliga konsekvenser. När en variabels buffert skapas fylls även pekaren till dess slut, och innan data skrivs till variabeln, om data inte passar, avslutas begäran med ett fel på ett kontrollerat sätt. Detta innebär att längdberäkningsfel fortfarande kan kvarstå, men de slösar inte minne; de ​​misslyckas bara med den specifika HTTP-förfrågan. Följande commits (2 (freenginx.org), 3 (freenginx.org)) liknande skydd lades till i andra delar av koden, inklusive åtkomstloggningskoden. En version publicerades den 7 juli Freenginx 1.31.3, vilket inkluderar den här korrigeringen.

Den 15 juli hämtades dessa commits av nginx (1 (github.com), 2 (github.com), 3 (github.com), av någon anledning byter man ut den andra och tredje i kedjan), tilldelades problemet CVE-2026-42533, och F5 släppte en officiell SA (f5.com).

Angående den specifika sårbarheten den här gången: den manifesterar sig när map-direktivet används med regexps med extraherade parametrar. Angående de andra villkoren som krävs för att den ska utlösas, skiljer sig texten i commit-beskrivningen och texten i SA:n något: SA anger att en viss sträng måste beräknas härnäst, vilket använder den extraherade parametern som är kvar från map, före resultatet av samma map. I commit-beskrivningen i exemplet, mellan dessa steg, nollställs även variabeln som innehåller den extraherade parametern. Hur som helst är det osannolikt att detta inträffar i de flesta nginx-maskiner som körs, och därför drabbade sårbarheten få personer. Det är också värt att notera att en korrigering för längdberäkningen specifikt för detta fall inte finns i de committade redigeringarna (eller sökte jag dåligt?), det finns bara ett skydd som förvandlar problemet till ett kontrollerat HTTP-förfrågningsfel. Även om vissa korrigeringar lades till i freenginx den 19 juli (5bfb, 7622, b906) beräkna längden för en liknande situation, men det är inte omedelbart klart om så är fallet eller inte.

Sårbarheten uppstod i version 0.9.6 av nginx, korrigeringar inkluderades i versionerna freenginx 1.31.3, nginx 1.30.4 och nginx 1.31.3.

Nginx SA tackar ett antal personer för att de oberoende rapporterat sårbarheten och följt "samordnade offentliggörandestandarder":

F5 tackar Ming Xuan, DKD (@pidifn), Ji'an Zhou och Zhen Yan från AntAISecurityLab, Rafael Gacek, Sergii Negodiuk från EVO.company, Lam Jun Rong från Calif.io, Mufeed VH från Winfunc Research (winfunc.com), Vexera AI (https://vexera.ai), Tu Tran Dinh (@1w4y), Stan Shaw (cyberstan), qianshuidewajueji, zenneth (randomguy6407), Zhenpeng (Leo) Lin från depthfirst, Lukas Johannes Moeller, Melih Tolga Sahin från Vodafone Türkiye, Ayoub Nabil Boubagrat (GitHub: @ayoubnabil) och Milan Jovic (Kljunowsky) för att de oberoende uppmärksammat oss på denna fråga och följt de högsta standarderna för samordnad offentliggörande.

I freenginx är den medföljande informationen om fixen faktiskt begränsad till commit-meddelandet. changelogDenna fix är inte ens märkt som "säkerhet" eller "buggfix", bara "funktion". Tydligen ansåg författaren inte att problemet var kritiskt. Det är omöjligt att fastställa sambandet mellan de rapporterade problemen av de ovannämnda individerna i F5 och commiten som kopierades från freenginx, eller om de (eller någon annan) rapporterade problemet till freenginx-författaren.

Källa: linux.org.ru