NGINX vá lỗ hổng heap buffer overflow nghiêm trọng (CVE-2026-42533) có thể gây DoS và RCE
"F5 patched CVE-2026-42533, a critical heap buffer overflow in nginx's script engine that can be triggered by remote unauthenticated HTTP requests under specific regex map and capture configurations. The flaw can crash or restart workers for denial of service, and F5 says it may permit remote code execution where ASLR is disabled or bypassed; fixes are available in nginx 1.30.4, 1.31.3, and NGINX Plus 37.0.3.1."
Lỗ hổng có thể dẫn đến DoS thông qua việc làm sập/khởi động lại worker và, trong điều kiện ASLR yếu, có khả năng RCE từ xa. Tác động chủ yếu phụ thuộc vào cấu hình regex map/capture và cơ chế bảo vệ bộ nhớ.
Nguy cơ gián đoạn dịch vụ do crash/restart worker có thể ảnh hưởng tính sẵn sàng. Nếu kịch bản RCE xảy ra, hậu quả có thể mở rộng sang chiếm quyền hệ thống và tác động dây chuyền tới vận hành ứng dụng.
F5 đã phát hành bản vá cho CVE-2026-42533, một heap buffer overflow trong nginx script engine. Lỗ hổng có thể bị kích hoạt bởi yêu cầu HTTP chưa xác thực được gửi từ xa, thông qua cấu hình regex map và capture cụ thể. Hành vi lỗi có thể làm crash hoặc restart worker, gây từ chối dịch vụ (DoS).
Theo F5, trong các môi trường mà ASLR bị tắt hoặc có thể bị bypass, kẻ tấn công có thể đạt tới remote code execution (RCE). Điểm đáng chú ý là mức độ phơi nhiễm phụ thuộc vào thứ tự và cách cấu hình chứ không chỉ dựa vào phiên bản nginx.
Bản vá được ghi nhận trên nginx 1.30.4, nginx 1.31.3 và NGINX Plus 37.0.3.1; các bản trước đó nên được nâng cấp. Trường hợp chưa thể vá ngay, F5 đề xuất tạm thời chuyển regex map sang named captures để giảm thiểu rủi ro, dù một số biến thể cấu hình vẫn có thể còn đường khai thác.
Khuyến nghị: rà soát cấu hình regex map/capture, ưu tiên nâng cấp ngay và kiểm tra các điểm tích hợp như NGINX Ingress Controller và các thành phần liên quan nếu đang sử dụng.