已存在15年之久的 NGINX 漏洞可导致RCE

Guru Baran
Guru Baran

代码卫士

2026年7月21日 15:06
北京

在小说阅读器读本章

去阅读

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

安全研究员 Stan Shaw发现了位于nginx脚本引擎中的一个严重的预认证远程代码执行漏洞CVE-2026-42533，自2011年3月即map指令获得正则表达式支持以来就被秘密利用。

F5 公司收到漏洞报告后，已在 nginx 1.30.4（稳定版）和1.31.3（主线版）中发布了修复方案，同时为NGINX Plus R33–R36（在R36 P7中修复）和37.0.0.1–37.0.2.1（在37.0.3.1中修复）提供了相应补丁。

该漏洞的根源在于nginx内部脚本引擎中缺少对PCRE捕获状态的保存/恢复。nginx在两遍中计算表达式——第一遍为LEN遍，用于测量缓冲区大小；第二遍为VALUE遍，用于写入实际数据。两遍都依赖一个名为r->captures的共享可变数组。当带有正则表达式的map指令在对捕获组（如$1）的两次引用之间执行时，它会悄悄覆盖该共享状态，导致LEN遍和VALUE遍在大小计算上产生不一致。

漏洞已存在15年之久

这种不匹配产生了两种不同的攻击原语：

堆缓冲区溢出：当被覆盖的捕获组比原始值更大时，VALUE遍写入的数据超出缓冲区大小，从而用完全由攻击者控制的内容破坏相邻堆内存。
信息泄露：当被覆盖的捕获组更小时，缓冲区过大，响应会泄露未初始化的堆字节——包括libc和堆指针，仅通过一次未认证的GET请求即可足以绕过ASLR。

攻击者可组合这两种原语，通过大约一次泄露请求、约40次喷射连接和一次触发溢出请求，在启用完整ASLR的Ubuntu 24.04上以10/10的可靠性实现可靠的RCE。研究人员提到，该漏洞不仅限于单个指令，它至少涉及9个源文件中的13个独立调用点，同时影响HTTP和stream模块。任何将正则表达式捕获源（location、server\_name、rewrite或if块）与之后在同一请求上下文中求值的基于正则表达式的map变量结合使用的配置，都可能被利用——即使这些配置位于同一location块中的不同指令之间。

常见受影响的指令包括：

proxy\_set\_header、proxy\_method、proxy\_pass、fastcgi\_param、uwsgi\_param、scgi\_param
grpc\_set\_header、return、add\_header、rewrite、set
root、alias、access\_log，以及若干其他指令。

此外，通过命名捕获组（(?P...)）还存在一个独立的、可单独利用的变种，该变种的缓存方式不同，因此仅修复编号捕获组的补丁无法解决该问题。

受影响版本

产品	受影响版本	修复版本
NGINX Open Source（稳定版）	0.9.6 至 1.30.3	1.30.4
NGINX Open Source（主线）	1.31.2及之前版本	1.31.3
NGINX Plus	R33–R36	R36 P7
NGINX Plus（更新产品线）	37.0.0.1–37.0.2.1	37.0.3.1

值得注意的是，近期针对其它 nginx 漏洞的修复方案——CVE-2026-42945、CVE-2026-9256、CVE-2026-42055 和 CVE-2026-48142——并未解决此问题，这意味着已打补丁的组织机构仍然面临风险。令人惊讶的是，这种棘手的异常行为早在十多年前的 2014 年 nginx trac 工单中就已被首次指出，当时开发者 Maxim Dounin 承认这是一个缺陷，但从未作为安全关键问题被彻底修复。

该研究员已在 GitHub（0xCyberstan/CVE-2026-42533-Config-Scanner）上发布了一个静态配置扫描器，可识别易受攻击的指令顺序而无需实际利用，为防御者提供了一种立即审计暴露情况的方法。

完整的概念验证和利用技术细节将在补丁发布后延迟 21 天公开，以便给管理员留出更新时间，这一决定是基于 CVE-2026-42945（“NGINX Rift”）公开后迅速被武器化的前车之鉴。