Eine neue Schwachstelle, CVE-2026-42533, betrifft praktisch jede gängige nginx-Installation von Version 0.9.6 bis 1.30.3 (Stable) beziehungsweise 1.31.2 (Mainline), ebenso NGINX Plus R33–R36 und 37.0.0.1–37.0.2.1. Der Fehler tritt auf, wenn map-Direktiven mit regulären Ausdrücken zusammen mit Regex-Capture-Werten in Direktiven wie proxy_pass, fastcgi_param oder rewrite verwendet werden. Angreifer können darüber einen Heap-Buffer-Overflow auslösen und gleichzeitig Speicheradressen auslesen, was ASLR aushebelt – und das komplett ohne Authentifizierung, nur über normale HTTP-Anfragen. In Tests gelang die Ausnutzung auf Ubuntu 24.04 zuverlässig in allen zehn Versuchen. Ein Exploit existiert bereits, wird aber vorerst zurückgehalten, damit Betreiber Zeit zum Patchen haben. Wer nginx einsetzt, sollte umgehend auf 1.30.4 bzw. 1.31.3 aktualisieren und die eigene Konfiguration auf die riskante Kombination aus Regex-Maps und -Captures prüfen – ein kostenloser Konfigurationsscanner steht dafür bereits zur Verfügung.
Comments powered by CComment