CVE-2026-42533: La falla en el mapa NGINX Regex puede bloquear a los trabajadores y permitir RCE

NGINX ha parcheado CVE-2026-42533, una vulnerabilidad dependiente de la configuración que puede permitir que un atacante no autenticado bloquee los procesos de trabajo y potencialmente ejecute código de forma remota. El defecto subyacente ha existido desde que se agregó el soporte de expresiones regulares almapdirectiva en NGINX 0.9.6 en marzo de 2011.

No todas las instalaciones de NGINX son explotables de inmediato. Un servidor vulnerable debe utilizar una combinación específica de capturas de expresiones regulares y una basada en expresiones regulares.mapvariable en un orden de evaluación inseguro. Cuando existen esas condiciones, una solicitud diseñada puede desencadenar un desbordamiento del búfer de montón dentro de un trabajador NGINX.

El funcionarioAviso de seguridad de NGINXenumera las versiones 0.9.6 a 1.31.2 como vulnerables. Los administradores deben actualizar a NGINX 1.30.4 en la rama estable, NGINX 1.31.3 en la rama principal o la versión NGINX Plus con el parche correspondiente.

¿Qué es CVE-2026-42533?

CVE-2026-42533 es una vulnerabilidad de seguridad de la memoria en el motor de script NGINX. Surge cuando los datos de captura de expresiones regulares almacenados en una estructura de solicitud compartida se sobrescriben mientras NGINX crea una cadena para una directiva.

ElAviso F5 K000162097dice que un atacante remoto y no autenticado puede enviar solicitudes manipuladas que provocan un desbordamiento del búfer del montón cuando hay una configuración vulnerable. El resultado inmediato puede ser la terminación del proceso del trabajador y la denegación de servicio. La ejecución de código también puede ser posible, particularmente si la aleatorización del diseño del espacio de direcciones está deshabilitada o omitida.

El problema afecta al plano de datos de NGINX. F5 dice que el plano de gestión o control no está expuesto a través de esta vulnerabilidad.

Cómo funciona el desbordamiento del búfer NGINX

NGINX evalúa algunas cadenas escritas en scripts en dos etapas. Una etapa de longitud calcula cuánta memoria se necesita y una etapa de valor escribe el contenido final en ese búfer asignado.

Ambas etapas pueden depender de capturas de expresiones regulares como$1,$2, o una captura con nombre. Estas capturas se almacenan en un estado de solicitud mutable. Si un basado en expresiones regularesmapse evalúa entre referencias de captura, puede reemplazar la información de captura original.

De acuerdo aEl análisis técnico de Stan Shaw, las etapas de longitud y valor pueden operar en diferentes valores de captura. El búfer asignado puede ser menor o mayor que los datos manejados durante la etapa de escritura.

¿Puede CVE-2026-42533 conducir a la ejecución remota de código?

El impacto respaldado por el proveedor incluye denegación de servicio y posible ejecución de código. el publicoregistro NVDTambién describe un desbordamiento del búfer de montón accesible de forma remota que depende de condiciones de configuración del lado del servidor fuera del control del atacante.

El investigador informa haber construido una cadena de exploits confiable combinando una fuga de información con una corrupción controlada del montón. Según se informa, las pruebas lograron la ejecución remota de código en Ubuntu 24.04 con ASLR habilitado, utilizando una solicitud de fuga, aproximadamente 40 conexiones de dispersión de montón y una solicitud de desbordamiento final.

Esta distinción es importante para la evaluación de riesgos. La posibilidad de ejecución remota de código está respaldada por el impacto de corrupción de memoria de la vulnerabilidad, pero la afirmación específica de explotación consistente con ASLR habilitado proviene de las pruebas de laboratorio del investigador.

¿Qué versiones de NGINX se ven afectadas?

Elpágina oficial de seguridad de NGINXidentifica 1.30.4 y 1.31.3 como las primeras versiones de código abierto no vulnerables. Ambas versiones se lanzaron el 15 de julio de 2026.

Los clientes de NGINX Plus deben seguir la información de versión fija en elAviso de producto F5. La instalación de actualizaciones para vulnerabilidades NGINX 2026 no relacionadas no garantiza la protección contra CVE-2026-42533.

¿Qué configuraciones pueden ser vulnerables?

La exposición depende de cómo se procesa una solicitud. Una configuración puede ser vulnerable cuando una directiva hace referencia por primera vez a una captura producida por una expresión regular y luego evalúa una expresión regularmapvariable mientras se construye la misma cadena de salida.

La captura original puede provenir de directivas comolocation,server_name,rewrite, oif. El orden vulnerable puede ocurrir dentro de una directiva o entre directivas separadas evaluadas en el mismo contexto de solicitud.

La falla no se limita a las configuraciones de proxy HTTP ordinarias. La investigación identificó rutas afectadas tanto en HTTP como en módulos de flujo, incluidos al menos 13 sitios de llamadas en nueve archivos fuente.

• proxy_set_header,proxy_method,proxy_pass, yproxy_set_body
• fastcgi_param,fastcgi_pass,uwsgi_param, yscgi_param
• grpc_set_headery procesamiento de configuración de gRPC relacionado
• return,rewrite,set,add_header, yadd_trailer
• root,alias,index, yaccess_log

Capturas con nombre y activadores entre directivas

Los administradores deben inspeccionar ambas capturas numeradas, como$1y grupos con nombre escritos en formas como(?P<name>...). Las variables de captura con nombre se almacenan de forma diferente, pero el investigador descubrió que pueden crear una forma explotable de forma independiente del mismo problema subyacente.

Una simple búsqueda de una captura y unamapPor lo tanto, dentro de una línea de configuración se pueden pasar por alto casos vulnerables. Las inclusiones, las configuraciones heredadas y el orden en el que se evalúan varias directivas pueden afectar la exposición.

ElRegistro CVE-2026-42533refleja este requisito al asignar una alta complejidad de ataque. El atacante no necesita credenciales ni interacción del usuario, pero el objetivo ya debe contener el patrón de configuración necesario.

Por qué la vulnerabilidad permaneció oculta durante 15 años

El código afectado data de NGINX 0.9.6, lanzado en marzo de 2011, cuando se introdujo el soporte de expresiones regulares paramapdirectiva. La edad se refiere a la ruta del código vulnerable, no a la fecha en que el problema de seguridad se hizo público.

Un ticket de NGINX de 2014 documentó casos en los que las capturas de expresiones regulares podían sobrescribirse durante el procesamiento de configuración. El comportamiento fue reconocido como un defecto, pero sus implicaciones para la seguridad de la memoria y la explotación remota no se abordaron completamente en ese momento.

Shaw informó la vulnerabilidad de seguridad al equipo de seguridad de F5 el 17 de mayo de 2026. F5 reconoció el informe al día siguiente y coordinó las correcciones para NGINX y NGINX Plus de código abierto.

Qué cambia el parche NGINX

El parche hace más que preservar un conjunto de capturas numeradas. Agrega comprobaciones de límites antes de que los datos programados se escriban en un búfer de salida y rastrea la cantidad de datos realmente producidos.

Si el procesamiento excede el límite asignado, NGINX ahora detiene la operación en lugar de escribir más allá del búfer. Una solicitud HTTP afectada debería fallar con un error interno del servidor en lugar de dañar la memoria del trabajador.

Calcular la longitud de salida a partir de los bytes realmente escritos también aborda la condición de divulgación de información. Este enfoque más amplio protege las rutas de captura numeradas y nombradas cubiertas por la falla.

Disponibilidad de exploits y escáneres

No se había publicado ningún exploit público completo hasta el 20 de julio de 2026.revelación del investigadordice que la prueba completa de concepto y el informe de explotación se retendrán durante 21 días después del lanzamiento del parche del 15 de julio para darles tiempo a los administradores para actualizar.

Un no-explotarEscáner de configuración CVE-2026-42533está disponible en GitHub. Examina los archivos de configuración de NGINX en busca de secuencias de evaluación de mapas y captura potencialmente inseguras, sigue los archivos incluidos y puede generar resultados legibles por máquina.

Un análisis limpio no debería sustituir la aplicación de parches. El análisis estático puede pasar por alto configuraciones generadas dinámicamente, archivos que no están disponibles para el escáner o comportamiento introducido por módulos de terceros.

Acciones recomendadas para administradores de NGINX

1. Actualice NGINX Open Source a 1.30.4 o 1.31.3, según la rama en uso.
2. Actualice NGINX Plus a R36 P7 o 37.0.3.1, según corresponda.
3. Ejecute elescáner de configuración estáticaentre configuraciones activas y archivos incluidos.
4. Revisar basado en expresiones regularesmapbloques y todas las referencias a variables de captura numeradas o nombradas.
5. Verifique las configuraciones generadas por los sistemas de implementación, controladores de ingreso, plantillas y plataformas de automatización.
6. Supervise los fallos repetidos de los trabajadores, las respuestas HTTP 500, las ráfagas de conexión anormales y los reinicios inesperados de NGINX.
7. Confirme que ASLR y otras protecciones de memoria del sistema operativo permanezcan habilitadas, y trátelas como salvaguardas adicionales en lugar de sustitutos del parche.

Las organizaciones deben priorizar los servidores proxy inversos conectados a Internet, las puertas de enlace API, los equilibradores de carga y los sistemas multiinquilino. Una configuración vulnerable puede exponer estos sistemas a solicitudes no autenticadas sin requerir una cuenta válida.

Los administradores también deben verificar la versión del binario NGINX en ejecución después de la actualización. Reemplazar un paquete sin reiniciar el servicio puede dejar activo en la memoria un proceso de trabajo anterior.

Debido a que la configuración es fundamental para la explotabilidad, los equipos de seguridad deben preservar la configuración activa y los registros relevantes si ocurrieran fallas sospechosas antes de aplicar el parche. Estos registros pueden ayudar a determinar si el comportamiento fue causado por errores de rutina, escaneo o un intento de explotación.

Preguntas frecuentes