🚨 NOVA NOTÍCIA EM DESTAQUE! 🚨
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
A F5 enviou correções para uma falha crítica do nginx que permite que um invasor remoto e não autenticado acione um estouro de buffer de heap no processo de trabalho com solicitações HTTP criadas. CVE-2026-42533 foi corrigido em 15 de julho no nginx 1.30.4 (estável) e 1.31.3 (linha principal) e no NGINX Plus 37.0.3.1; qualquer pessoa em uma versão anterior deve atualizar.
Acioná-lo pode travar ou reiniciar o trabalhador, causando negação de serviço; onde o ASLR está desabilitado ou pode ser ignorado, F5 diz que também pode permitir a execução remota de código.
O overflow reside no mecanismo de script do nginx, o código que monta strings de diretivas no momento da solicitação. Ele surge apenas sob uma configuração específica: um mapa baseado em regex cuja variável de saída é referenciada em uma expressão de string após uma captura de uma correspondência de regex anterior.
Sob esse padrão, a avaliação em duas passagens do motor se desfaz. A primeira passagem mede quantos bytes o resultado precisa e aloca um buffer para caber; a segunda passagem grava os bytes. Ambos leem o mesmo estado de captura compartilhado e a avaliação do regex do mapa entre as duas passagens o sobrescreve.
Portanto, a passagem de medição dimensiona o buffer para a captura original, uma referência como $1 da correspondência de localização, enquanto a passagem de escrita o preenche a partir de uma referência diferente, do tamanho do invasor. O buffer é muito pequeno e tanto o comprimento quanto o conteúdo da saturação vêm diretamente da solicitação.
Isso não atinge todos os servidores nginx; a exposição depende da configuração, não apenas da versão. O comunicado da F5 lista a falha como afetando o NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager junto com o servidor principal e NGINX Plus, embora na publicação a F5 não tivesse listado compilações fixas para esses quatro produtos.
F5 pontua 9,2 no CVSS v4 e 8,1 na escala v3.1 mais antiga, e avalia alta complexidade de ataque. Cada versão do nginx de 0.9.6 a 1.31.2 é vulnerável, um intervalo que remonta a 2011, quando o mapa ganhou suporte para regex.
CVE-2026-42533 foi relatado à F5 de forma independente por mais de uma dúzia de pesquisadores; o fornecedor agradeceu por "trazer nossa atenção para esse problema de forma independente". O próprio changelog do nginx credita a correção ao Mufeed VH da Winfunc Research e ao mantenedor Maxim Dounin.
Um dos repórteres, Stan Shaw, que publica como cyberstan, publicou um artigo detalhado que vai além do comunicado. F5 condiciona a execução do código no ASLR a ser desabilitada ou contornada, e o argumento de Shaw é que a falha fornece o próprio desvio. Ele disse ao The Hacker News que a captura também é executada ao contrário: quando a captura derrotada é menor que a original, o buffer superdimensionado devolve dados de heap não inicializados e, em um Ubuntu 24.04 padrão, um único GET não autenticado recupera os endereços de que uma carga útil precisa.
“Um leitor do comunicado F5 poderia razoavelmente concluir que isso é apenas DoS em sistemas padrão. Não é”, disse Shaw. É uma afirmação mais forte do que a feita por F5, que ele diz ter atingido 10 em 10 em seus próprios testes, e ele está retendo os detalhes de exploração e uma prova de conceito por enquanto, para que ninguém possa verificá-la de forma independente ainda.
A correção é atualizar para o nginx 1.30.4 ou 1.31.3 ou NGINX Plus 37.0.3.1. Para quem não consegue corrigir imediatamente, a mitigação temporária do F5 é mudar os mapas regex afetados para capturas nomeadas, o que Shaw diz fechar o caminho principal e cobrir a maioria das configurações.
Mas ele disse ao The Hacker News que a mitigação deixa um caminho mais estreito aberto: um mapa que define o mesmo grupo nomeado que o regex de localização atinge o mesmo overflow através de um segundo caminho de código, que ele confirmou com AddressSanitizer e que o comunicado da F5 não menciona. “Atualizar para 1.30.4/1.31.3 é a única solução completa”, disse ele.
A exposição ao grep for é estreita: um mapa baseado em regex cuja variável aparece em uma expressão de string ao lado de uma captura numerada ($1, $2) de uma regex anterior, com a captura escrita antes da variável do mapa.
O próprio scanner de Shaw automatiza a verificação de uma configuração, segue inclusões e sinaliza apenas a ordem explorável; não explora nada, mas como ferramenta do repórter não é um produto de fornecedor.
Este é o terceiro heap overflow no código de avaliação de expressão do nginx divulgado em cerca de dois meses, após Rift (CVE-2026-42945) em maio e um bug de capturas sobrepostas no módulo de reescrita (CVE-2026-9256) dias depois.
Todos os três são da mesma classe de falha: o mecanismo de script de duas passagens do nginx dimensiona um buffer em uma passagem e grava nele na próxima, e cada vez que a gravação ultrapassa o tamanho medido. O gatilho é diferente, uma bandeira obsoleta no Rift, capturas sobrepostas no bug de reescrita, estado de captura derrotado aqui. A fraqueza comum, como observa o pesquisador, é um projeto de duas passagens que confia em sua própria medição.
Em 20 de julho, CVE-2026-42533 não estava no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA e nenhuma publicação
Acioná-lo pode travar ou reiniciar o trabalhador, causando negação de serviço; onde o ASLR está desabilitado ou pode ser ignorado, F5 diz que também pode permitir a execução remota de código.
O overflow reside no mecanismo de script do nginx, o código que monta strings de diretivas no momento da solicitação. Ele surge apenas sob uma configuração específica: um mapa baseado em regex cuja variável de saída é referenciada em uma expressão de string após uma captura de uma correspondência de regex anterior.
Sob esse padrão, a avaliação em duas passagens do motor se desfaz. A primeira passagem mede quantos bytes o resultado precisa e aloca um buffer para caber; a segunda passagem grava os bytes. Ambos leem o mesmo estado de captura compartilhado e a avaliação do regex do mapa entre as duas passagens o sobrescreve.
Portanto, a passagem de medição dimensiona o buffer para a captura original, uma referência como $1 da correspondência de localização, enquanto a passagem de escrita o preenche a partir de uma referência diferente, do tamanho do invasor. O buffer é muito pequeno e tanto o comprimento quanto o conteúdo da saturação vêm diretamente da solicitação.
Isso não atinge todos os servidores nginx; a exposição depende da configuração, não apenas da versão. O comunicado da F5 lista a falha como afetando o NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager junto com o servidor principal e NGINX Plus, embora na publicação a F5 não tivesse listado compilações fixas para esses quatro produtos.
F5 pontua 9,2 no CVSS v4 e 8,1 na escala v3.1 mais antiga, e avalia alta complexidade de ataque. Cada versão do nginx de 0.9.6 a 1.31.2 é vulnerável, um intervalo que remonta a 2011, quando o mapa ganhou suporte para regex.
CVE-2026-42533 foi relatado à F5 de forma independente por mais de uma dúzia de pesquisadores; o fornecedor agradeceu por "trazer nossa atenção para esse problema de forma independente". O próprio changelog do nginx credita a correção ao Mufeed VH da Winfunc Research e ao mantenedor Maxim Dounin.
Um dos repórteres, Stan Shaw, que publica como cyberstan, publicou um artigo detalhado que vai além do comunicado. F5 condiciona a execução do código no ASLR a ser desabilitada ou contornada, e o argumento de Shaw é que a falha fornece o próprio desvio. Ele disse ao The Hacker News que a captura também é executada ao contrário: quando a captura derrotada é menor que a original, o buffer superdimensionado devolve dados de heap não inicializados e, em um Ubuntu 24.04 padrão, um único GET não autenticado recupera os endereços de que uma carga útil precisa.
“Um leitor do comunicado F5 poderia razoavelmente concluir que isso é apenas DoS em sistemas padrão. Não é”, disse Shaw. É uma afirmação mais forte do que a feita por F5, que ele diz ter atingido 10 em 10 em seus próprios testes, e ele está retendo os detalhes de exploração e uma prova de conceito por enquanto, para que ninguém possa verificá-la de forma independente ainda.
A correção é atualizar para o nginx 1.30.4 ou 1.31.3 ou NGINX Plus 37.0.3.1. Para quem não consegue corrigir imediatamente, a mitigação temporária do F5 é mudar os mapas regex afetados para capturas nomeadas, o que Shaw diz fechar o caminho principal e cobrir a maioria das configurações.
Mas ele disse ao The Hacker News que a mitigação deixa um caminho mais estreito aberto: um mapa que define o mesmo grupo nomeado que o regex de localização atinge o mesmo overflow através de um segundo caminho de código, que ele confirmou com AddressSanitizer e que o comunicado da F5 não menciona. “Atualizar para 1.30.4/1.31.3 é a única solução completa”, disse ele.
A exposição ao grep for é estreita: um mapa baseado em regex cuja variável aparece em uma expressão de string ao lado de uma captura numerada ($1, $2) de uma regex anterior, com a captura escrita antes da variável do mapa.
O próprio scanner de Shaw automatiza a verificação de uma configuração, segue inclusões e sinaliza apenas a ordem explorável; não explora nada, mas como ferramenta do repórter não é um produto de fornecedor.
Este é o terceiro heap overflow no código de avaliação de expressão do nginx divulgado em cerca de dois meses, após Rift (CVE-2026-42945) em maio e um bug de capturas sobrepostas no módulo de reescrita (CVE-2026-9256) dias depois.
Todos os três são da mesma classe de falha: o mecanismo de script de duas passagens do nginx dimensiona um buffer em uma passagem e grava nele na próxima, e cada vez que a gravação ultrapassa o tamanho medido. O gatilho é diferente, uma bandeira obsoleta no Rift, capturas sobrepostas no bug de reescrita, estado de captura derrotado aqui. A fraqueza comum, como observa o pesquisador, é um projeto de duas passagens que confia em sua própria medição.
Em 20 de julho, CVE-2026-42533 não estava no catálogo de Vulnerabilidades Exploradas Conhecidas da CISA e nenhuma publicação
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #vulnerabilidade #crítica #do #nginx #pode #travar #os #trabalhadores #e #permitir #a #execução #remota #de #código
🚀 Mais conteúdos incríveis estão por vir, fique atento!
Postar um comentário