CVE-2026-42055 adalah buffer overflow berbasis heap di modul NGINX yang digunakan untuk proksi HTTP/2 upstream dan gRPC. Ini bersifat kondisional, bukan kerentanan menyeluruh dalam setiap penerapan NGINX: perilaku proxy yang terpengaruh, pemfilteran header tidak valid yang dinonaktifkan, dan buffer header klien non-default yang terlalu besar semuanya harus ada di [S1][S4].
Konfigurasi dan versi yang terpengaruh
Catatan vendor mencakup NGINX Open Source dan NGINX Plus hanya jika semua prasyarat konfigurasi yang terdokumentasi bertepatan dengan [S1][S4]. Untuk NGINX Open Source, rilis terbitan yang terpengaruh adalah 1.13.10 hingga 1.30.2, ditambah 1.31.0 dan 1.31.1; nginx.org mengidentifikasi 1.30.3+ stable dan 1.31.2+ mainline sebagai [S2][S3] yang tidak rentan. Catatan CNA F5 juga mencantumkan rilis NGINX Plus R37 37.0 sebelum rilis 37.0.2.1 dan R36 sebelum R36 P6 terpengaruh; versi setelah Akhir Dukungan Teknis tidak dievaluasi [S1][S4].
Dampak dan tingkat keparahan
Penyerang jarak jauh yang tidak diautentikasi dapat memicu heap overflow pada pekerja NGINX dalam kondisi konfigurasi yang diperlukan, menyebabkan pekerja tersebut memulai ulang dan berpotensi mengganggu layanan. Eksekusi kode juga bergantung pada Pengacakan Tata Letak Ruang Alamat (ASLR) yang dinonaktifkan atau dilewati [S1][S4].
F5 menetapkan CVSS v3.1 8.1 (Tinggi), dengan kompleksitas serangan tinggi, sementara nginx.org memberi label Medium penasehat [S1][S2][S4]. Ini adalah sistem pemeringkatan yang dipublikasikan secara terpisah, sehingga FixVibe menampilkan keduanya dengan atribusi, bukan memperlakukan label mana pun sebagai universal.
Bagaimana FixVibe mencakupnya
Pemindaian repositori FixVibe GitHub melaporkan Kemungkinan masalah dengan keyakinan sedang ketika bukti yang terlihat di repositori menghubungkan rilis gambar kontainer Sumber Terbuka NGINX resmi yang terkena dampak ke konfigurasi proksi upstream yang tidak biasa yang dijelaskan oleh vendor [S1][S4]. Temuan ini mengidentifikasi gambar/versi dan lokasi konfigurasi yang relevan, memberikan panduan rilis tetap, dan membedakan bukti repositori terverifikasi dari status runtime yang tidak terverifikasi.
Liputannya sengaja dibuat konservatif. Saat ini berfokus pada komponen berbasis Dockerfile yang menggunakan image resmi NGINX Open Source dan konfigurasi yang disediakan repositori. Itu tidak mengklaim cakupan untuk NGINX Plus, paket distribusi, gambar khusus atau pribadi, tag versi mengambang, konfigurasi yang dirakit di luar repositori, atau runtime yang diterapkan. Temuan tidak membuktikan bahwa artefak disebarkan, dapat dijangkau, atau dieksploitasi, dan tidak ada temuan yang menjamin bahwa setiap runtime tidak terpengaruh.
FixVibe tidak menjalankan NGINX, mengirimkan lalu lintas header yang berbahaya, melakukan uji tabrakan pada pekerja, memeriksa ASLR, atau mencoba merusak memori atau mengeksekusi kode. Mengonfirmasi perilaku tersebut akan melewati batas pemindaian yang aman.
Remediasi
Tingkatkan ke rilis tetap yang didukung. Untuk NGINX Open Source, gunakan 1.30.3 atau 1.31.2, atau rilis terbaru yang didukung; Pengguna NGINX Plus harus menerapkan level patch yang didukung F5 [S1][S2][S3][S4]. Sematkan rilis gambar yang telah diperbaiki, buat ulang, dan terapkan ulang setiap komponen yang terpengaruh.
Tinjau juga konfigurasi efektif lengkapnya. Tetap aktifkan validasi header yang tidak valid, hindari pengaturan buffer header klien yang terlalu besar kecuali jika diperlukan secara operasional, dan hentikan penggunaan proksi HTTP/2 upstream atau gRPC jika tidak diperlukan. Verifikasi versi yang berjalan dengan nginx -v, tinjau konfigurasi efektif dengan nginx -T, jalankan nginx -t, dan lakukan hanya uji asap HTTP/2 dan gRPC yang aman sebelum menjalankan kembali pemindaian repositori FixVibe. Jangan memvalidasi perbaikan dengan lalu lintas yang menyebabkan kerusakan atau kerusakan memori.