CVE-2026-42055 は、アップストリーム HTTP/2 および gRPC プロキシに使用される NGINX モジュールのヒープ ベースのバッファ オーバーフローです。これは条件付きであり、すべての NGINX 展開における包括的な脆弱性ではありません。影響を受けるプロキシの動作、無効な無効なヘッダー フィルタリング、およびデフォルト以外の過剰なクライアント ヘッダー バッファーがすべて存在する必要があります。
影響を受ける構成とバージョン
ベンダー レコードは、文書化されたすべての構成前提条件が [S1][S4] と一致する場合にのみ、NGINX オープン ソースと NGINX Plus をカバーします。 NGINX オープンソースの場合、影響を受ける公開リリースは 1.13.10 ～ 1.30.2、および 1.31.0 と 1.31.1 です。 nginx.org は、1.30.3 以降の安定版と 1.31.2 以降のメインラインを脆弱ではない [S2][S3] として識別しています。 F5 の CNA レコードには、37.0.2.1 より前の NGINX Plus R37 37.0 リリースと、R36 P6 より前の R36 リリースも影響を受けるものとしてリストされています。テクニカル サポート終了を過ぎたバージョンは、[S1][S4] では評価されませんでした。
影響と深刻度
リモートの認証されていない攻撃者は、必要な構成条件下で NGINX ワーカーでヒープ オーバーフローを引き起こす可能性があり、これによりワーカーが再起動され、サービスが中断される可能性があります。コードの実行には、アドレス空間レイアウトのランダム化 (ASLR) が無効になっているかバイパスされていることがさらに条件付きです ([S1][S4])。
F5 は攻撃の複雑さが高い CVSS v3.1 8.1 (高) を割り当てますが、nginx.org はアドバイザリーを中 [S1][S2][S4] とラベル付けします。これらは個別に公開された評価システムであるため、FixVibe では、どちらかのラベルを普遍的なものとして扱うのではなく、両方を帰属表示とともに表示します。
FixVibe がそれをどのようにカバーするか
FixVibe GitHub リポジトリ スキャンでは、リポジトリに表示される証拠が、まさに影響を受ける公式 NGINX オープン ソース コンテナ イメージのリリースと、ベンダー [S1][S4] が説明する異常な上流プロキシ構成とを関連付けている場合、中程度の確信度で 問題の可能性 を報告します。この結果により、関連するイメージ/バージョンと構成の場所が特定され、修正リリースのガイダンスが提供され、検証済みのリポジトリの証拠と未検証の実行時の状態が区別されます。
報道内容は意図的に保守的です。現在、公式の NGINX オープン ソース イメージとリポジトリが提供する構成を使用する Dockerfile ベースのコンポーネントに焦点を当てています。 NGINX Plus、配布パッケージ、カスタムまたはプライベート イメージ、フローティング バージョン タグ、リポジトリの外部でアセンブルされた構成、またはデプロイされたランタイムの範囲は保証されません。検出結果は、アーティファクトがデプロイされているか、到達可能か、悪用可能であることを証明するものではありません。また、検出結果がないからといって、すべてのランタイムが影響を受けないという保証はありません。
FixVibe は、NGINX の実行、危険なヘッダー トラフィックの送信、ワーカーのクラッシュ テスト、ASLR の検査、メモリ破損やコードの実行の試みを行いません。これらの動作を確認すると、安全なスキャン境界を超えることになります。
修復
修正済みのサポートされているリリースにアップグレードします。 NGINX オープン ソースの場合は、1.30.3 または 1.31.2、またはより新しいサポートされているリリースを使用します。 NGINX Plus ユーザーは、対応する F5 サポート パッチ レベル [S1][S2][S3][S4] を適用する必要があります。修正されたイメージ リリースを固定し、再構築して、影響を受けるすべてのコンポーネントを再デプロイします。
完全な効果的な構成も確認してください。無効なヘッダーの検証を有効にし、運用上必要でない限り、クライアント ヘッダー バッファーの過大な設定を避け、不必要な場合はアップストリーム HTTP/2 または gRPC プロキシの使用を停止します。 nginx -v で実行中のバージョンを確認し、nginx -T で効果的な構成を確認し、nginx -t を実行して、FixVibe リポジトリ スキャンを再実行する前に、無害な HTTP/2 および gRPC スモーク テストのみを実行します。クラッシュを引き起こすトラフィックやメモリ破損を引き起こすトラフィックを使用して修正を検証しないでください。