CVE-2026-42533

Błąd pojawia się, gdy dyrektywa map używa dopasowania wyrażeń regularnych, a wyrażenie łańcuchowe odwołuje się do zmiennych przechwytujących regex przed odwołaniem do zmiennej wyjściowej mapy. Ten sam efekt można uzyskać, stosując zmienną niebuforowaną w wyrażeniu łańcuchowym w określonych warunkach. Atakujący wysyła spreparowane żądania HTTP, co prowadzi do przepełnienia bufora sterty (heap buffer overflow) w procesie roboczym NGINX, powodując jego restart. Wykonanie kodu jest możliwe na systemach z wyłączonym mechanizmem ASLR lub gdy atakujący jest w stanie obejść ASLR.

Atakujący może spowodować odmowę usługi (DoS) poprzez wymuszenie restartu procesu roboczego NGINX lub — w przypadku wyłączonego bądź obejętego ASLR — wykonać zdalnie dowolny kod (RCE) na serwerze. Problem dotyczy wyłącznie płaszczyzny danych (data plane); płaszczyzna sterowania (control plane) nie jest narażona.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://my.f5.com/manage/s/article/K000162097). Dodatkowo, do czasu wdrożenia łatki, zaleca się upewnienie się, że mechanizm ASLR jest włączony na wszystkich systemach uruchamiających NGINX, co ogranicza ryzyko skutecznego RCE.

NGINX Plus oraz NGINX Open Source — konkretne wersje wskazane w referencjach producenta (F5 K000162097). Wersje objęte statusem End of Technical Support (EoTS) nie są uwzględniane w ocenie.

Podatność wymaga zaistnienia warunków częściowo niezależnych od atakującego (m.in. specyficzna konfiguracja dyrektywy map lub wyłączony ASLR), co wpływa na złożoność ataku (AC:H w wektorze CVSS 4.0). RCE jest realny przede wszystkim na systemach z wyłączonym ASLR lub gdy atakujący może ten mechanizm obejść.