🛡️ CVE-2026-42945 - NGINX Rift

NGINX 严重堆缓冲区溢出

📌 概述

CVE-2026-42945（也称为 NGINX Rift）是 NGINX 的 ngx_http_rewrite_module 中的一个严重安全漏洞。

• 类型：堆缓冲区溢出 (CWE-122)
• 发现时间：2026年5月
• 存在时间：约18年
• 可利用性：远程、未经认证、通过单个精心构造的HTTP请求

该漏洞源于 URI 重写规则处理中，长度检查阶段与实际复制/转义阶段之间的缓冲区大小计算不一致。

📋 受影响的版本

NGINX 开源版

NGINX Plus

注意：许多 F5 NGINX 产品（Ingress Controller、App Protect、Gateway Fabric 等）如果运行在存在漏洞的基础版本上则会受到影响。

🔍 技术细节

该漏洞由特定指令组合触发：

1. 一条 rewrite 指令，其替换字符串包含 ?（激活 is_args 标志）。
2. 后跟另一条 rewrite、if 或 set 指令，使用未命名的 PCRE 捕获组（$1、$2 等）。

根因

• 长度计算阶段使用置零的子引擎（is_args = false）→ 低估所需缓冲区大小。
• 复制/转义阶段使用实际引擎（is_args = true）→ 调用 ngx_escape_uri() 并传入 NGX_ESCAPE_ARGS。
• URI 中大量可转义字符（+、&、% 等）导致堆溢出。

⚠️ 影响

CVSS v4.0 评分：9.2（严重）
CVSS v3.1 评分：8.1（高）

🛠️ 缓解措施与修复

1. 立即升级（推荐）

• 更新到 NGINX 1.30.1 或 1.31.0+
• 更新 NGINX Plus 到最新修补版本

2. 配置临时解决方案

将未命名捕获组替换为命名捕获组：

之前（存在漏洞）

rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

之后（安全）

rewrite ^/users/(?<user_id>[0-9]+)/profile/(?<section>.*)$ /profile.php?id=$user_id&tab=$section last;

关键建议：审计所有将包含 ? 的替换字符串与随后使用 $1、$2 等结合的重写规则。

🛡️ 最佳实践

• 在生产环境的重写规则中始终使用命名捕获组
• 保持 NGINX 和 NGINX Plus 定期更新
• 监控访问日志中的可疑 URI 模式
• 考虑使用 WAF 规则检测利用尝试

📜 总结

CVE-2026-42945 是近年来最重大的 NGINX 漏洞之一，因其存在时间长、利用简单且可能实现 RCE。

立即行动——修补您的实例并更新配置。