CVE-2026-42945: NGINX Rift Vulnerabilità di overflow del buffer heap

Panoramica

CVE-2026-42945 è una grave vulnerabilità di overflow del buffer heap nel server NGINX, conosciuta come "NGINX Rift". La vulnerabilità risiede nella logica di elaborazione delle direttive rewrite e set di NGINX; quando vengono soddisfatte specifiche condizioni di configurazione, un attaccante può innescare un overflow dell'heap inviando una richiesta malintenzionata, causando denial of service (DoS) e potenzialmente esecuzione remota di codice (RCE).

Tipo di vulnerabilità: Overflow del buffer heap
Livello di rischio: Alto
ID CVE: CVE-2026-42945

Impatto

• Versioni interessate: NGINX 0.6.27 ~ 1.30.0
• Versioni non interessate: NGINX 1.31.0 e successive

Versioni corrette

Si consiglia di aggiornare immediatamente a una delle seguenti versioni:

• NGINX 1.31.0 o versione stabile successiva
• Versioni con patch di sicurezza fornite dai vari vendor delle distribuzioni

Condizioni di attivazione

Per attivare la vulnerabilità devono essere soddisfatte contemporaneamente le seguenti due condizioni:

1. Condizione di configurazione: nella configurazione di NGINX vengono utilizzate contemporaneamente:

   • La direttiva rewrite (la stringa di sostituzione contiene il carattere ?)
   • La direttiva set (riferita ai gruppi di cattura regex di rewrite, come $1, $2)

2. Condizione della richiesta: l'URI della richiesta contiene caratteri che possono essere escaped (ad esempio +, &, %, ecc.)

Spiegazione del principio:

• La direttiva rewrite imposta e->is_args = 1 (mai resettato)
• La fase di calcolo della lunghezza della direttiva set utilizza un sotto-motore tutto zero (le.is_args = 0)
• NGINX decodifica %25 in %, ma ngx_escape_uri lo ri-codifica in %25 (3 byte)
• Ogni carattere %25 viene espanso da 1 byte a 3 byte, causando una scrittura oltre i limiti del buffer

Sfruttamento

Test PoC

python3 CVE-2026-42945/CVE-2026-42945-test.py --host cve.test.com --port 80

Procedura di verifica della vulnerabilità

1. Inviare una richiesta normale per confermare lo stato operativo del server
2. Inviare una richiesta contenente pochi caratteri %25 per un test su piccola scala
3. Inviare una richiesta con molti caratteri %25 (ad esempio 2000) per innescare l'overflow del buffer
4. Verificare se il server si blocca o restituisce una risposta anomala (errore 500/502)
5. Controllare se il server si ripristina automaticamente (il processo master fork un nuovo worker)

Analisi dei risultati del test

Risultati POC per architettura a singolo livello

In una configurazione NGINX a singolo livello il test innesca la vulnerabilità:

Analisi del log di crash:

• Il processo worker crasha a causa di SIGSEGV (segnale)
• Il crash avviene nella funzione ngx_http_script_flush_no_cacheable_variables
• Fase del crash: ngx_http_core_rewrite_phase

Risultati POC per architettura a doppio livello

In una configurazione NGINX a doppio livello (layer1 di forwarding + layer2 di servizio) i risultati del test sono i seguenti:

Descrizione dei file

Riferimenti

• Annuncio di sicurezza ufficiale NGINX
• Dettagli CVE-2026-42945 su MITRE
• NVD - CVE-2026-42945

Dichiarazione di esclusione di responsabilità

Questo progetto è destinato esclusivamente a scopi di ricerca sulla sicurezza e didattici. Gli utenti devono rispettare le leggi e i regolamenti del proprio paese o regione. L'autore non si assume alcuna responsabilità per eventuali abusi non autorizzati.

Vietato l'uso per attacchi illegali!

Ultimo aggiornamento: 2026-05-19