suominen/cve-2026-42533
CVE-2026-42533 के लिए पैच-स्थिति ट्रैकर, जो nginx के दो-पास स्क्रिप्ट मूल्यांकन इंजन में एक हीप बफ़र ओवरफ़्लो है। nginx एक स्ट्रिंग एक्सप्रेशन को LEN पास में मापता है और उसे VALUE पास में लिखता है, बिना PCRE कैप्चर स्थिति को सहेजे और पुनर्स्थापित किए, इसलिए regex map का मूल्यांकन उसी एक्सप्रेशन में पहले संदर्भित कैप्चर को क्लोबर कर देता है और दोनों पास बफ़र आकार पर असहमत होते हैं। एक बिना प्रमाणीकरण वाला हमलावर क्राफ्टेड HTTP अनुरोध भेजकर worker के heap को अनुरोध-नियंत्रित बाइट्स से ओवरफ़्लो कर सकता है; F5 इस प्रभाव को denial of service के रूप में आंकता है, और कोड निष्पादन वहाँ संभव है जहाँ ASLR अक्षम हो या बायपास किया जा सके। इसे upstream में nginx 1.31.3 (mainline) और 1.30.4 (stable) में ठीक किया गया, जो 2026-07-15 को जारी किए गए।
रेंडर की गई साइट https://kimmo.cloud/CVE-2026-42533/ पर प्रकाशित है।
तैनाती योजना और वर्तमान सेटअप स्थिति WEBSITE.md में मौजूद हैं।
ट्रैकर एक एकल Hugo पेज है: site/content/_index.md। उस फ़ाइल को संपादित करें; बाकी सब कुछ बिल्ड इंफ्रास्ट्रक्चर है।
इसमें समान कॉलम वाली दो वितरण तालिकाएँ हैं — एक प्रत्येक upstream nginx ट्रैक के लिए, क्योंकि stable और mainline के अलग-अलग फिक्स्ड रिलीज़ हैं (1.30.4 और 1.31.3) और वितरण उन्हें अलग-अलग पैकेज करते हैं।
Hugo extended (≥ 0.146.0) और Go की आवश्यकता है (Hugo Modules द्वारा PaperMod थीम लाने के लिए)।
nix develop # dev shell: hugo, go, git, resvg, curl
cd site
hugo server # local preview at http://localhost:1313/CVE-2026-42533/
यदि आप direnv का उपयोग करते हैं, तो एक बार direnv allow चलाएँ और जब भी आप रिपो में cd करेंगे, डेव शेल अपने आप सक्रिय हो जाएगा।
स्वयं Hugo extended ≥ 0.146.0 और Go ≥ 1.24 स्थापित करें, फिर:
cd site
hugo server # http://localhost:1313/CVE-2026-42533/
make build # local build into site/public/
make dist # build, then rsync to haig:/CVE-2026-42533/
make banner # re-rasterise the social banner SVG → PNG (needs resvg + Roboto)
make dist पहले make build चलाता है। make banner केवल site/assets/cve-2026-42533-tracker.svg को संपादित करने के बाद आवश्यक है; रेंडर की गई PNG कमिट की जाती है।
किसी पंक्ति का Fixed since वह तारीख़ है जब फिक्स वास्तव में शिप हुआ था, जो उस स्रोत से लिया गया है जिसने इसे शिप किया — न कि वह दिन जब इसे नोटिस किया गया। NixOS और nixpkgs चैनलों के लिए वह व्युत्पत्ति एक स्क्रिप्ट है:
./scripts/nixos-first-shipped nixos-unstable <nixpkgs-commit>
यह चैनल के प्रकाशित रिलीज़ों को सूचीबद्ध करता है, उनमें से सबसे पहला रिलीज़ ढूँढता है जो उस कमिट वाले रिवीज़न से बना हो, और उस रिलीज़ और उसकी प्रकाशन तिथि को प्रिंट करता है। Debian तिथियाँ changelog या snapshot.debian.org से आती हैं, pkgsrc तिथियाँ पैकेज Makefile के इतिहास से आती हैं।
अन्य दो हेल्पर स्थानीय क्लोन से वर्तमान स्थिति पढ़ते हैं:
./scripts/nixpkgs-versions
./scripts/pkgsrc-versions
प्रत्येक ट्रैक की गई पंक्ति के लिए एक पंक्ति प्रिंट करता है — संस्करण, और क्या CVE बैकपोर्ट मौजूद है। pkgsrc-versions PKGNAME का सम्मान करता है, इसलिए यह वह पहचानकर्ता रिपोर्ट करता है जो होस्ट प्रिंट करता है (nginx-devel-1.29.6nb1), न कि डिस्टफ़ाइल नाम।
.
├── flake.nix # Nix dev environment (hugo, go, git, resvg, curl)
├── .envrc # direnv hook → `use flake`
├── .gitignore
├── Makefile # `make build`, `make dist`, `make banner`
├── LICENSE # CC BY 4.0
├── README.md # this file
├── CLAUDE.md # project instructions for Claude Code
├── WEBSITE.md # publication plan / decisions log
├── scripts/ # auto-update driver + prompt, and the three lookup helpers
├── systemd/ # user-level timer + service units
└── site/ # Hugo project
├── hugo.toml
├── content/
│ └── _index.md # the tracker (single page)
├── assets/css/extended/custom.css # PaperMod CSS overrides
├── assets/cve-2026-42533-tracker.svg # social-banner source (→ make banner)
├── static/cve-2026-42533-tracker.png # rendered OpenGraph banner (committed)
├── layouts/partials/ # PaperMod overrides (post_meta, extend_footer)
├── go.mod, go.sum # Hugo Modules — pulls PaperMod theme
└── … # standard Hugo skeleton
CC BY 4.0 — श्रेय के साथ साझा करें और अनुकूलित करें।