🟠 CVE-2026-42533: High Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-42533 betrifft NGINX Plus und NGINX Open Source mit hohem Schweregrad (CVSS 8.1). Die Vulnerabilität ermöglicht es unauthentizierten Angreifern, durch speziell manipulierte HTTP-Anfragen einen Heap Buffer Overflow im NGINX Worker-Prozess auszulösen. Dies führt zu Denial-of-Service-Angriffen oder potenzieller Remote Code Execution auf Systemen ohne Address Space Layout Randomization (ASLR).

Betroffene Systeme

Die Schwachstelle beeinträchtigt verschiedene Versionen von NGINX Plus und NGINX Open Source. Besonders kritisch sind Installationen, auf denen ASLR deaktiviert ist oder Sicherheitsmechanismen umgangen werden können. Systeme, die das End of Technical Support (EoTS) erreicht haben, sind von dieser Bewertung ausgenommen.

Technische Details

Die Vulnerabilität tritt in der Verarbeitung von Map-Direktiven mit Regex-Matching auf. Das Problem entsteht, wenn String-Expressions auf Regex-Capture-Variablen zugreifen, bevor sie auf die Output-Variablen der Map verweisen. Alternativ können nicht-cacheable Variablen in String-Expressions unter bestimmten Bedingungen das gleiche Ergebnis erzielen.

Der Angriffsvektor ist netzwerkbasiert (Network), wobei der Angreifer externe Bedingungen nicht kontrollieren kann. Die Schwachstelle ist rein auf der Datenebene (Data Plane) vorhanden – die Kontrollebene (Control Plane) ist nicht exponiert.

Empfohlene Massnahmen

Administratoren sollten folgende Schritte einleiten:

• Monitoring für verdächtige HTTP-Requests mit speziellen Regex-Patterns etablieren
• ASLR auf allen NGINX-Systemen aktivieren, um Code Execution zu erschweren
• Worker-Prozesse überwachen und automatische Restart-Mechanismen konfigurieren
• Map-Direktiven in Konfigurationen überprüfen und kritische Regex-Nutzungen identifizieren
• Auf verfügbare Patches warten und zeitnah einspielen

Bewertung

Mit einem CVSS-Score von 8.1 ist diese Schwachstelle kritisch zu bewerten. Die Kombination aus hoher Verfügbarkeit (unauthentizierter Zugriff) und gravierenden Auswirkungen (DoS/RCE) erfordert sofortige Aufmerksamkeit. Die Abhängigkeit von zusätzlichen Bedingungen und die fehlbare Verfügbarkeit eines Patches erschweren die Risikominderung derzeit.

„`