Vulnerabilidad crítica de NGINX

F5 ha publicado correcciones para una vulnerabilidad crítica de NGINX que permite a un atacante remoto no autenticado provocar un desbordamiento de búfer en el montón del proceso de trabajo mediante solicitudes HTTP manipuladas. La vulnerabilidad CVE-2026-42533 se corrigió el 15 de julio en NGINX 1.30.4 (estable) y 1.31.3 (principal), y en NGINX Plus 37.0.3.1; se recomienda actualizar a las versiones anteriores.

Activar esta vulnerabilidad puede provocar el bloqueo o el reinicio del proceso de trabajo, causando una denegación de servicio. F5 advierte que, si ASLR está deshabilitado o se puede eludir, también podría permitir la ejecución remota de código.

El desbordamiento reside en el motor de scripts de nginx, el código que ensambla cadenas a partir de directivas en el momento de la solicitud. Solo se manifiesta bajo una configuración específica: un mapa basado en expresiones regulares cuya variable de salida se referencia en una expresión de cadena después de una captura de una coincidencia de expresión regular anterior.

Esto no afecta a todos los servidores nginx; la vulnerabilidad depende de la configuración, no solo de la versión. El aviso de F5 indica que la vulnerabilidad afecta a NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager, además del servidor principal y NGINX Plus. Sin embargo, al momento de la publicación, F5 no había publicado versiones corregidas para estos cuatro productos.

F5 le otorga una puntuación de 9.2 en CVSS v4 y de 8.1 en la escala anterior v3.1, y la complejidad del ataque es alta. Todas las versiones de nginx desde la 0.9.6 hasta la 1.31.2 son vulnerables, un rango que se remonta a 2011, cuando la función map incorporó soporte para expresiones regulares.

Más de una docena de investigadores informaron a F5 de forma independiente sobre la vulnerabilidad CVE-2026-42533; el proveedor les agradeció por "haber llamado nuestra atención sobre este problema de forma independiente". El registro de cambios de nginx atribuye la corrección a Mufeed VH de Winfunc Research y al mantenedor Maxim Dounin.

Uno de los reporteros, Stan Shaw, que publica bajo el seudónimo de cyberstan, publicó un informe detallado que va más allá del aviso. F5 condiciona la ejecución del código a que ASLR esté deshabilitado o sea eludible, y el argumento de Shaw es que la vulnerabilidad proporciona la propia elusión. La manipulación de la captura también funciona a la inversa: cuando la captura manipulada es más pequeña que la original, el búfer sobredimensionado devuelve datos de montón no inicializados, y en una compilación predeterminada de Ubuntu 24.04, una sola solicitud GET no autenticada recupera las direcciones que necesita una carga útil.

"Un lector del aviso de F5 podría concluir razonablemente que se trata de un ataque DoS exclusivo de sistemas predeterminados. Pero no es así", afirmó Shaw. Su afirmación es más contundente que la de F5, y según él, obtuvo una puntuación perfecta en sus propias pruebas. Por el momento, no proporciona detalles sobre la explotación ni una prueba de concepto, para que nadie pueda verificarla de forma independiente.

La solución consiste en actualizar a nginx 1.30.4 o 1.31.3, o a NGINX Plus 37.0.3.1. Para quienes no puedan aplicar el parche de inmediato, la solución temporal de F5 consiste en cambiar los mapas de expresiones regulares afectados por capturas con nombre, lo que, según Shaw, cierra la ruta principal y cubre la mayoría de las configuraciones.

Sin embargo, esta solución deja abierta una ruta más estrecha: un mapa que define el mismo grupo con nombre que la expresión regular de ubicación alcanza el mismo desbordamiento a través de una segunda ruta de código, algo que confirmó con AddressSanitizer y que el aviso de F5 no menciona. "Actualizar a la versión 1.30.4 / 1.31.3 es la única solución completa", afirmó.

Las automatizaciones del escáner de Shaw revisan la configuración, siguen las inclusiones y marcan solo el orden vulnerable; no explotan nada, pero como herramienta del reportero, no es un producto del proveedor.

Este es el tercer desbordamiento de búfer en el código de evaluación de expresiones de nginx que se revela en aproximadamente dos meses, después de Rift (CVE-2026-42945) en mayo y un error de capturas superpuestas en el módulo de reescritura (CVE-2026-9256) días después.

Las tres vulnerabilidades pertenecen al mismo tipo: el motor de scripts de dos pasadas de nginx dimensiona un búfer en una pasada y escribe en él en la siguiente, y en cada ocasión la escritura excede el tamaño medido. El desencadenante difiere: una bandera obsoleta en Rift, capturas superpuestas en el error de reescritura, estado de captura modificado en este caso. La debilidad común, como señala el investigador, es un diseño de dos pasadas que confía en su propia medición.

Al 20 de julio, la vulnerabilidad aún no ha aparecido ningún código de explotación público. Shaw afirma que publicará su propia prueba de concepto 21 días después del parche, y Rift sirve de advertencia: su exploit se hizo público en cuestión de días y pronto fue objeto de explotación activa. Por eso es importante actualizar antes de que llegue esta vulnerabilidad.

Fuente: THN