5. CVE-2026-42945 - 重大なNGINX RCE (CVSS 9.2)

分類

• カテゴリ: 0-Day / リモートコード実行
• CVE: CVE-2026-42945
• CVSS: 9.2 (重大)
• 発見日: 2026年5月12日
• パッチ適用日: 2026年5月（F5四半期セキュリティリリース）
• ソース: GitHub (DepthFirstDisclosures/Nginx-Rift)

脆弱性の詳細

NGINX の ngx_http_rewrite_module コンポーネントにおけるヒープバッファオーバーフローで、2008年に導入され、発見まで16年間存在していました。

• 影響を受けるバージョン: NGINX Open Source 0.6.27 - 1.30.0
• 修正バージョン: NGINX 1.31.0, 1.30.1
• 他に影響: NGINX Plus R32 - R36

根本原因

脆弱性は2パススクリプトエンジンにあります：

1. パス1: 必要なバッファサイズを計算
2. パス2: データをバッファにコピー

問題: 2つのパスの間で内部エンジンの状態が変化します。リライトの置換文字列に ?（疑問符）が含まれると、伝播されないフラグによりバッファの割り当てが過小になり、攻撃者が制御するエスケープされたURIデータがヒープ境界をオーバーフローする可能性があります。

悪用手法

# Conceptual: padding request URI with '+' signs forces
# the escaping function to expand each byte into three bytes,
# overflowing the allocated chunk. The overflow size is
# fully controlled by the number of escapable characters.

RCE（ASLRバイパス）を達成するには：

1. POSTボディスプレイによるクロスリクエストヒープ風水
2. 隣接する ngx_pool_t クリーンアップポインタを破壊
3. プール破棄時に system() を呼び出す偽の ngx_pool_cleanup_s にリダイレクト

同じシステムによって発見された関連CVE: CVE-2026-42946, CVE-2026-40701, CVE-2026-42934

PoCの入手可能性

• リポジトリ: GitHub上の DepthFirstDisclosures/Nginx-Rift
• スター数: 786 (発見時点)
• 言語: Python (92.6%), Shell (7.4%)
• ステータス: 機能するPoC
• テスト済み環境: Ubuntu 24.04.3 LTS

発見方法

この脆弱性は、NGINXソースコードのオンボーディングのワンクリック後に、DepthFirstのセキュリティ分析システムによって自律的に発見されました。これは自動化された脆弱性発見の力を示しています。

緩和策

• NGINX Open Source を 1.31.0 または 1.30.1 に更新
• NGINX Plus を R36 P4、R35 P2、または R32 P6 に更新
• パッチ適用が遅れる場合は、置換文字列に ? を含むリライトディレクティブを無効化

入手先

• PoC: https://github.com/depthfirstdisclosures/nginx-rift
• セキュリティアドバイザリ: F5セキュリティ速報
• 分析: SecurityWeek、DepthFirst開示