CVE-2026-42945: NGINX Rift Heap-Pufferüberlauf-Schwachstelle

Überblick

CVE-2026-42945 ist eine schwerwiegende Heap-Pufferüberlauf-Schwachstelle im NGINX-Server, bekannt als "NGINX Rift". Die Schwachstelle existiert in der Verarbeitungslogik der rewrite- und set-Direktiven von NGINX. Wenn bestimmte Konfigurationsbedingungen erfüllt sind, kann ein Angreifer durch das Senden einer bösartigen Anfrage einen Heap-Überlauf auslösen, der zu einem Denial-of-Service (DoS) und potenziell zu einer Remote-Code-Ausführung (RCE) führt.

Schwachstellentyp: Heap-Pufferüberlauf
Risikostufe: Hoch
CVE-ID: CVE-2026-42945

Betroffene Versionen

• Betroffene Versionen: NGINX 0.6.27 ~ 1.30.0
• Nicht betroffene Versionen: NGINX 1.31.0 und höher

Behobene Versionen

Es wird empfohlen, sofort auf eine der folgenden Versionen zu aktualisieren:

• NGINX 1.31.0 oder eine neuere stabile Version
• Sicherheits-Patch-Versionen der jeweiligen Distributionsanbieter

Auslösebedingungen

Die Schwachstelle wird ausgelöst, wenn gleichzeitig die folgenden beiden Bedingungen erfüllt sind:

1. Konfigurationsbedingung: In der NGINX-Konfiguration werden gleichzeitig verwendet:

   • rewrite-Direktive (Ersetzungszeichenfolge enthält das Zeichen ?)
   • set-Direktive (verweist auf Regex-Erfassungsgruppen von rewrite, z. B. $1, $2)

2. Anfragebedingung: Die Anfrage-URI enthält escapbare Zeichen (z. B. +, &, % usw.)

Prinzip:

• Die rewrite-Direktive setzt e->is_args = 1 (wird nie zurückgesetzt)
• Die set-Direktive verwendet in der Längenberechnungsphase eine Sub-Engine mit Nullen (le.is_args = 0)
• NGINX dekodiert %25 zu %, aber ngx_escape_uri kodiert es wieder zu %25 (3 Bytes)
• Jedes %25-Zeichen wird von 1 Byte auf 3 Byte erweitert, was zu einem Schreiben über die Puffergrenze hinaus führt

Ausnutzung

PoC-Test

# Verwendung des Testskripts aus dem Projekt
python3 CVE-2026-42945/CVE-2026-42945-test.py --host cve.test.com --port 80

Schwachstellen-Validierungsablauf

1. Senden einer normalen Anfrage zur Bestätigung des Serverstatus
2. Senden einer Anfrage mit wenigen %25-Zeichen für einen kleinen Test
3. Senden einer Anfrage mit vielen %25-Zeichen (z. B. 2000), um einen Pufferüberlauf auszulösen
4. Prüfen, ob der Server abstürzt oder anomale Antworten (500/502-Fehler) zurückgibt
5. Prüfen, ob der Server automatisch wiederhergestellt wird (Master-Prozess forkt neuen Worker)

Analyse der Testergebnisse

Ergebnisse des Einschicht-POC

In einer Einschicht-NGINX-Konfiguration löst der Test die Schwachstelle aus:

Absturzprotokoll-Analyse:

• Worker-Prozess stürzt aufgrund von SIGSEGV (Signal) ab
• Absturz in der Funktion ngx_http_script_flush_no_cacheable_variables
• Absturzphase: ngx_http_core_rewrite_phase

Ergebnisse des Zweischicht-POC

In einer Zweischicht-NGINX-Konfiguration (Layer1 Weiterleitung + Layer2 Geschäftslogik) ergeben sich folgende Ergebnisse:

Dateibeschreibung

Referenzen

• Offizielles NGINX-Sicherheitsbulletin
• CVE-2026-42945 MITRE Details
• NVD – CVE-2026-42945

Haftungsausschluss

Dieses Projekt dient ausschließlich Sicherheitsforschungs- und Bildungszwecken. Benutzer müssen die geltenden Gesetze und Vorschriften ihres Landes oder ihrer Region einhalten. Der Autor übernimmt keine Verantwortung für unbefugte missbräuchliche Nutzung.

Verboten für illegale Angriffe!

Letzte Aktualisierung: 2026-05-19