CVE-2026-42055 é um buffer overflow baseado em heap nos módulos NGINX usados para proxy HTTP/2 upstream e gRPC. É condicional, não uma vulnerabilidade geral em todas as implantações NGINX: o comportamento de proxy afetado, a filtragem de cabeçalho inválido desabilitada e os buffers de cabeçalho de cliente não padrão superdimensionados devem estar presentes [S1][S4].
Configurações e versões afetadas
O registro do fornecedor abrange NGINX Open Source e NGINX Plus somente quando todos os pré-requisitos de configuração documentados coincidem com [S1][S4]. Para NGINX Open Source, as versões publicadas afetadas são 1.13.10 a 1.30.2, mais 1.31.0 e 1.31.1; nginx.org identifica 1.30.3+ estável e 1.31.2+ linha principal como não vulnerável [S2][S3]. O registro CNA da F5 também lista as versões NGINX Plus R37 37.0 antes de 37.0.2.1 e as versões R36 antes de R36 P6 como afetadas; versões anteriores ao Fim do Suporte Técnico não foram avaliadas [S1][S4].
Impacto e gravidade
Um invasor remoto não autenticado pode acionar um heap overflow em um trabalhador NGINX sob as condições de configuração exigidas, fazendo com que o trabalhador reinicie e potencialmente interrompa o serviço. A execução do código também está condicionada à desativação ou desvio do ASLR (Address Space Layout Randomization) [S1][S4].
F5 atribui CVSS v3.1 8.1 (Alto), com alta complexidade de ataque, enquanto nginx.org rotula o consultivo Médio [S1][S2][S4]. Esses são sistemas de classificação publicados separados, portanto FixVibe apresenta ambos com atribuição em vez de tratar qualquer rótulo como universal.
Como FixVibe cobre isso
FixVibe GitHub as varreduras de repositório relatam um Problema provável com confiança média quando evidências visíveis no repositório vinculam uma versão afetada exata da imagem oficial do contêiner de código aberto NGINX à configuração de proxy upstream incomum descrita pelo fornecedor [S1][S4]. A descoberta identifica a imagem/versão relevante e os locais de configuração, fornece orientação de liberação fixa e distingue evidências de repositório verificadas de estado de tempo de execução não verificado.
A cobertura é intencionalmente conservadora. Atualmente, ele se concentra em componentes baseados em Dockerfile que usam a imagem oficial do NGINX Open Source e a configuração fornecida pelo repositório. Ele não reivindica cobertura para NGINX Plus, pacotes de distribuição, imagens personalizadas ou privadas, tags de versão flutuantes, configuração montada fora do repositório ou tempo de execução implantado. Uma descoberta não prova que o artefato está implantado, acessível ou explorável, e nenhuma descoberta não é uma garantia de que todo tempo de execução não será afetado.
FixVibe não executa NGINX, envia tráfego de cabeçalho perigoso, executa testes de falha, inspeciona ASLR ou tenta corrupção de memória ou execução de código. A confirmação desses comportamentos ultrapassaria os limites da varredura segura.
Correção
Atualize para uma versão fixa e com suporte. Para NGINX Open Source, use 1.30.3 ou 1.31.2, ou uma versão compatível mais recente; Os usuários do NGINX Plus devem aplicar o nível de patch compatível com F5 correspondente [S1][S2][S3][S4]. Fixe a liberação da imagem corrigida, reconstrua-a e reimplante todos os componentes afetados.
Revise também a configuração efetiva completa. Mantenha a validação de cabeçalho inválido habilitada, evite configurações de buffer de cabeçalho de cliente superdimensionadas, a menos que sejam operacionalmente necessárias, e pare de usar proxy HTTP/2 upstream ou gRPC onde for desnecessário. Verifique a versão em execução com nginx -v, revise a configuração efetiva com nginx -T, execute nginx -t e execute apenas testes benignos de fumaça HTTP/2 e gRPC antes de executar novamente a verificação do repositório FixVibe. Não valide a correção com tráfego que induza falhas ou que corrompa a memória.