Patch management
Una richiesta HTTP costruita ad arte può mandare in crash un worker NGINX e, in determinate condizioni, aprire la strada all’esecuzione di codice remoto. La vulnerabilità, identificata come CVE-2026-42533, interessa un intervallo di versioni insolitamente ampio: da NGINX 0.9.6, pubblicato nel 2011, fino alle release 1.30.3 stable e 1.31.2 mainline. F5 ha già distribuito le correzioni a metà luglio con NGINX 1.30.4, NGINX 1.31.3 e NGINX Plus 37.0.3.1.
Il problema non rende vulnerabile ogni installazione in modo automatico: serve una particolare combinazione di direttive, espressioni regolari e variabili; resta però una falla rilevante perché colpisce il percorso del server web che elabora le richieste, non richiede autenticazione e può ricevere dati controllati direttamente dal client. F5 le assegna un punteggio di 9,2 secondo CVSS 4.0 e di 8,1 secondo CVSS 3.1, pur classificando come alta la complessità dell’attacco.
La storia tecnica della falla parte dalla direttiva map, che NGINX usa per calcolare il valore di una variabile in base a un’altra variabile. Dal marzo 2011 map supporta anche le espressioni regolari; proprio tale capacità, combinata con il motore interno che compone stringhe e parametri, ha introdotto una condizione rimasta nascosta per circa 15 anni.
