🛡️ CVE-2026-42945 - NGINX Rift

NGINXにおける重大なヒープベースのバッファオーバーフロー

📌 概要

CVE-2026-42945（別名 NGINX Rift）は、NGINXの ngx_http_rewrite_module における重大なセキュリティ脆弱性です。

• タイプ: ヒープベースのバッファオーバーフロー (CWE-122)
• 発見: 2026年5月
• 存在期間: 約18年間
• 悪用可能性: 単一の細工されたHTTPリクエストにより、リモートから認証なしで可能

この脆弱性は、URI書き換えルールの処理中に、長さチェックフェーズと実際のコピー/エスケープフェーズの間でバッファサイズの計算に一貫性がないことに起因します。

📋 影響を受けるバージョン

NGINX オープンソース

NGINX Plus

注意: F5 NGINX製品（Ingress Controller、App Protect、Gateway Fabricなど）の多くは、脆弱なベースバージョンで実行されている場合、影響を受けます。

🔍 技術的詳細

このバグは、特定のディレクティブの組み合わせによって引き起こされます：

1. 置換文字列に ? が含まれている rewrite ディレクティブ（is_args フラグを有効化）。
2. 続いて、名前なしPCREキャプチャ（$1、$2など）を使用する別の rewrite、if、または set ディレクティブ。

根本原因

• 長さ計算パスはゼロ化されたサブエンジン（is_args = false）を使用 → 必要なバッファサイズを過小評価。
• コピー/エスケープパスは実際のエンジン（is_args = true）を使用 → NGX_ESCAPE_ARGS を指定して ngx_escape_uri() を呼び出す。
• URI内の多数のエスケープ可能文字（+、&、%など）がヒープオーバーフローを引き起こす。

⚠️ 影響

CVSS v4.0 スコア: 9.2 (重大)
CVSS v3.1 スコア: 8.1 (高)

🛠️ 緩和策と修正

1. 即時アップグレード（推奨）

• NGINX 1.30.1 または 1.31.0+ にアップデート
• NGINX Plusを最新のパッチリリースにアップデート

2. 設定による回避策

名前なしキャプチャを名前付きキャプチャに置き換えます：

修正前（脆弱）

rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

修正後（安全）

rewrite ^/users/(?<user_id>[0-9]+)/profile/(?<section>.*)$ /profile.php?id=$user_id&tab=$section last;

主な推奨事項: ? を含む置換文字列とその後の $1、$2 などの使用を組み合わせたすべての書き換えルールを監査してください。

🛡️ ベストプラクティス

• 本番環境の書き換えルールでは常に名前付きキャプチャグループを使用する
• NGINX および NGINX Plus を定期的に最新の状態に保つ
• アクセスログを監視して不審なURIパターンを検出する
• 悪用試行を検出するためにWAFルールの使用を検討する

📜 まとめ

CVE-2026-42945 は、長期間存在したこと、悪用の容易さ、RCEの可能性により、近年で最も重要なNGINX脆弱性の1つです。

今すぐ行動を — インスタンスにパッチを適用し、設定を更新してください。