Исследователи безопасности из Depthfirst обнаружили критическую уязвимость в широко распространенном веб-серверном программном обеспечении с открытым исходным кодом Nginx. Злоумышленники могут сделать уязвимые серверы временно недоступными, отправляя специально созданные HTTP-запросы, а при определенных обстоятельствах даже выполнить вредоносный код. Патч уже доступен, и его следует установить в ближайшее время.
Эта уязвимость, также известная как Nginx Rift (открывается в новом окне), зарегистрирована под идентификатором CVE-2026-42945 (открывается в новом окне) и имеет критический уровень опасности (CVSS: 9,2). Согласно описанию, причиной является переполнение буфера в куче, возможное при определенных конфигурациях в модуле ngx_http_rewrite_module (открывается в новом окне), использование которого приводит к перезапуску рабочего процесса Nginx.
Этого достаточно, чтобы сделать соответствующий веб-сервер временно, а при необходимости и многократно, недоступным — то есть DoS-атака (отказ в обслуживании). В системах, где отключена функция безопасности ASLR (рандомизация адресного пространства (открывается в новом окне)), также возможно выполнение вредоносного кода. Однако такая конфигурация встречается довольно редко, так как ASLR, вероятно, включена по умолчанию.
Патчи доступны
Сопровождающие Almalinux в своем уведомлении о CVE-2026-42945 (открывается в новом окне) дают соответствующие разъяснения. DoS-атака в стандартной конфигурации с помощью одного HTTP-запроса выполняется просто и надежно, однако с выполнением вредоносного кода дело обстоит иначе. Кроме того, не ожидается, что можно будет легко создать надежный эксплойт, который будет работать и с включенным ASLR. Однако полностью исключить такую возможность тоже нельзя.
Как описывают первооткрыватели CVE-2026-42945 в своем блоге (открывается в новом окне), уязвимость существует начиная с версии Nginx 0.6.27, то есть с 2008 года. Уязвимыми считаются все версии вплоть до 1.30.0 включительно. Патч был выпущен несколько дней назад в версиях 1.30.1 и 1.31.0 (открывается в новом окне).
Помимо веб-сервера Nginx, уязвимость затрагивает и другие зависимые продукты Nginx. Список всех продуктов и соответствующих версий можно найти в уведомлении разработчика F5 (открывается в новом окне). В нем также предлагаются изменения в определениях Rewrite, которые могут служить альтернативными мерами защиты, если систему невозможно немедленно пропатчить.