NGINX PlusとNGINX Open Sourceのmapディレクティブによる正規表現処理には、CVE-2026-42533のヒープバッファオーバーフローがあります。未認証の攻撃者が細工したHTTPリクエストを送ると、ワーカープロセスが再起動してサービス妨害になる可能性があります。コード実行はASLRが無効、または攻撃者がASLRを回避できる場合に限られるため、無条件のRCEとは表現しません。
今すぐ行う対策
- ✓公式情報で確認できる修正版へ更新する
- ✓更新までの公式回避策を適用する
- ✓侵害の兆候を確認する
脆弱性の概要と影響範囲
この脆弱性（CVE-2026-42533）は、NGINXの`map`ディレクティブと正規表現マッチングの処理に存在するヒープバッファオーバーフローです。攻撃者が特定の条件下で細工されたHTTPリクエストを送信すると、NGINXワーカープロセスがクラッシュし、サービス運用妨害（DoS）が発生する可能性があります。また、ASLR保護がバイパスされた場合や無効な環境では、任意のコード実行に発展する恐れがあります。
NGINX Open Sourceは0.9.6以上1.30.4未満と、1.31.2以上1.31.3未満が影響を受けます。NGINX Plusは37.0.0.1以上37.0.3.1未満、R36 P7未満、R33が影響対象です。技術サポート終了版はF5の評価対象外です。
具体的な影響・攻撃シナリオ
この脆弱性が悪用された場合、認証されていないリモート攻撃者は、細工されたHTTPリクエストを送信することで、NGINXワーカープロセスをクラッシュさせ、Webサービスを停止させる可能性があります。これが繰り返されれば、永続的なサービス運用妨害（DoS）につながります。さらに、攻撃者がASLRを無効化する、またはバイパスする条件下では、このヒープバッファオーバーフローを悪用して、対象システム上で任意のコードを実行し、サーバーを完全に制御する可能性があります。現在、この脆弱性の積極的な悪用は確認されていませんが、潜在的な影響は極めて深刻です。
対応手順と確認方法
この脆弱性に対処するためには、以下のいずれかの修正済みバージョンへ速やかにアップデートしてください。
- ✓NGINX Open Source stable系列を1.30.4以上へ更新する
- ✓NGINX Open Source mainline系列を1.31.3以上へ更新する
- ✓NGINX Plusは37.0.3.1、R36 P7、または契約先が示す修正版へ更新する
- ✓mapで正規表現キャプチャを使う構成を棚卸しし、更新完了まで公開範囲を抑える
F5はCVSS v4.0を9.2 CRITICAL、CVSS v3.1を8.1 HIGHと評価しています。評価体系が異なるため両方を併記します。恒久対策は修正版への更新であり、独自の設定変更を公式回避策の代用にしないでください。
📦