CVE-2026-42055 è un buffer overflow basato su heap nei moduli NGINX utilizzati per il proxy HTTP/2 e gRPC upstream. Si tratta di una vulnerabilità condizionale e non generale in ogni distribuzione NGINX: il comportamento del proxy interessato, il filtro delle intestazioni non valide disabilitato e i buffer di intestazione client non predefiniti sovradimensionati devono essere tutti presenti [S1][S4].
Configurazioni e versioni interessate
Il record del fornitore copre NGINX Open Source e NGINX Plus solo quando tutti i prerequisiti di configurazione documentati coincidono [S1][S4]. Per NGINX Open Source, le versioni pubblicate interessate vanno dalla 1.13.10 alla 1.30.2, più 1.31.0 e 1.31.1; nginx.org identifica 1.30.3+ stabile e 1.31.2+ mainline come [S2][S3] non vulnerabile. Il record CNA di F5 elenca anche le versioni di NGINX Plus R37 37.0 precedenti alla 37.0.2.1 e le versioni R36 precedenti alla R36 P6 come interessate; le versioni successive alla fine del supporto tecnico non sono state valutate [S1][S4].
Impatto e gravità
Un utente malintenzionato remoto non autenticato potrebbe innescare un overflow dell'heap in un lavoratore NGINX nelle condizioni di configurazione richieste, causando il riavvio del lavoratore e potenzialmente interrompendo il servizio. L'esecuzione del codice è inoltre subordinata alla disabilitazione o all'esclusione della randomizzazione del layout dello spazio degli indirizzi (ASLR) [S1][S4].
F5 assegna CVSS v3.1 8.1 (Alta), con complessità di attacco elevata, mentre nginx.org etichetta l'avviso Medio [S1][S2][S4]. Si tratta di sistemi di classificazione pubblicati separati, quindi FixVibe presenta entrambi con attribuzione anziché trattare entrambe le etichette come universali.
Come lo copre FixVibe
Le scansioni del repository FixVibe GitHub segnalano un probabile problema con media certezza quando le prove visibili nel repository collegano un'esatta versione interessata dell'immagine ufficiale del contenitore NGINX Open Source all'insolita configurazione del proxy upstream descritta dal fornitore [S1][S4]. Il risultato identifica le posizioni di immagine/versione e configurazione rilevanti, fornisce indicazioni sulla versione fissa e distingue le prove del repository verificato dallo stato di runtime non verificato.
La copertura è intenzionalmente conservativa. Attualmente si concentra su componenti basati su Dockerfile che utilizzano l'immagine ufficiale NGINX Open Source e la configurazione fornita dal repository. Non rivendica la copertura per NGINX Plus, pacchetti di distribuzione, immagini personalizzate o private, tag di versione mobile, configurazione assemblata all'esterno del repository o runtime distribuito. Un risultato non dimostra che l'artefatto sia distribuito, raggiungibile o sfruttabile e nessun risultato non garantisce che ogni runtime non sia interessato.
FixVibe non esegue NGINX, non invia traffico di intestazioni pericoloso, non esegue crash test sui lavoratori, non ispeziona ASLR o tenta di corrompere la memoria o eseguire codice. Confermare tali comportamenti oltrepasserebbe un limite di scansione sicuro.
Bonifica
Esegui l'upgrade a una versione fissa e supportata. Per NGINX Open Source, utilizzare 1.30.3 o 1.31.2 o una versione supportata più recente; Gli utenti NGINX Plus devono applicare il corrispondente livello di patch supportato da F5 [S1][S2][S3][S4]. Blocca la versione dell'immagine corretta, ricostruiscila e ridistribuisci tutti i componenti interessati.
Esaminare anche la configurazione effettiva completa. Mantieni abilitata la convalida dell'intestazione non valida, evita impostazioni del buffer dell'intestazione client di dimensioni eccessive a meno che non siano necessarie a livello operativo e smetti di utilizzare il proxy HTTP/2 o gRPC upstream laddove non è necessario. Verificare la versione in esecuzione con nginx -v, rivedere la configurazione effettiva con nginx -T, eseguire nginx -t ed eseguire solo test di fumo HTTP/2 e gRPC benigni prima di eseguire nuovamente la scansione del repository FixVibe. Non convalidare la correzione con traffico che provoca arresti anomali o danneggiamento della memoria.