F5修補nginx重大漏洞CVE-2026-42533，CVSS達9.2恐致遠端程式碼執行

F5於7月15日針對nginx伺服器釋出修補程式，修復一項可讓未經驗證的遠端攻擊者透過惡意HTTP請求觸發堆積緩衝區溢位（heap buffer overflow）的重大漏洞，編號CVE-2026-42533。此漏洞影響nginx 0.9.6至1.31.2所有版本，回溯至2011年，F5在CVSS v4評分中列為9.2分，v3.1版本則為8.1分，攻擊複雜度列為「高」。截至7月20日，此漏洞尚未列入美國網路安全暨基礎設施安全局（CISA）已知遭利用漏洞目錄，外界也未出現公開攻擊程式碼。

漏洞成因

問題位於nginx腳本引擎（script engine），也就是依設定指令在請求時組合字串的程式碼，僅在特定設定下才會出現：一個以正規表達式（regex）為基礎的map指令，其輸出變數被用於字串運算式中，且該運算式同時參照先前正規表達式比對所擷取的變數。

nginx採兩階段求值（two-pass evaluation），第一階段計算所需位元組數並配置緩衝區，第二階段才寫入內容，兩階段共用同一組擷取狀態。若中間執行map的正規表達式比對，便會覆寫原本擷取內容，導致測量階段依原始值配置緩衝區大小，寫入階段卻改用攻擊者操控大小的擷取值填入，緩衝區因而過小，溢位長度與內容皆可由請求端控制，可能造成worker處理程序當機或重啟，形成阻斷服務攻擊；若位址空間配置隨機化（ASLR）未啟用或可被繞過，F5表示甚至可能達成遠端程式碼執行。

受影響範圍與修補

F5通報指出，除核心nginx伺服器與NGINX Plus外，NGINX Ingress Controller、Gateway Fabric、App Protect WAF與Instance Manager同樣受影響，截至發布時尚未公布這四項產品的修補版本。此漏洞由十餘位研究人員各自獨立回報，nginx變更紀錄將修補歸功於Winfunc Research的Mufeed VH與維護者Maxim Dounin。

F5建議儘速升級至nginx 1.30.4（穩定版）、1.31.3（主線版）或NGINX Plus 37.0.3.1。若暫時無法升級，臨時緩解措施是將受影響的map改為具名擷取（named captures）。

以cyberstan為筆名發表研究的資安研究員Stan Shaw向外媒指出，此緩解措施仍有漏洞：若map定義與位置比對相同的具名群組，攻擊者仍可透過第二條路徑觸發同樣溢位，且此路徑未見於F5官方通報。Shaw表示：「升級至1.30.4或1.31.3版本，是唯一完整的修補方式。」

Shaw並提出更嚴重的看法：此漏洞本身即可提供繞過ASLR所需資訊，遭覆寫的擷取值若小於原始值，過大的緩衝區會回傳未初始化的堆積資料，預設Ubuntu 24.04環境下，單一未經驗證的GET請求即可取得攻擊酬載所需位址。他表示：「僅閱讀F5通報的讀者，可能合理認為這僅是阻斷服務等級的風險，但事實並非如此。」此手法在其測試中達到滿分成功率，但尚未公開攻擊細節與概念驗證程式碼供外界驗證。

這是近兩個月內nginx運算式求值程式碼第三起堆積溢位漏洞，此前為5月的Rift漏洞（CVE-2026-42945）及數日後於rewrite模組發現的CVE-2026-9256。Shaw指出，三起漏洞觸發方式各異，但根本成因皆源自兩階段腳本引擎過度信任自身測量結果的設計。Shaw預計於修補釋出21天後公開概念驗證程式碼，並以Rift漏洞程式碼公開後數日內即遭利用為例，呼籲用戶儘速升級。

外媒曾就緩解措施是否完全阻斷此漏洞，以及四項下游產品修補時程詢問F5，但截至發布時尚未獲回應。