Уязвимость BDU:2026-06827 (CVE-2026-42945) NGINX

Уязвимость BDU:2026-06827 (CVE-2026-42945) переполнения буфера в динамической памяти в модуле ngx_http_rewrite_module веб-сервера NGINX. Ошибка возникла в версии 0.6.27 (2008 год) и оставалась незамеченной около 18 лет. Согласно оценке F5, эксплуатация уязвимости позволяет неаутентифицированному злоумышленнику удалённо вызвать отказ в обслуживании (падение worker-процессов) либо, при определённых условиях (например, при отключённом ASLR), добиться выполнения произвольного кода с правами рабочего процесса NGINX.

Анализ уязвимости

Уровень опасности: 8.1 (HIGH)

Вектор атаки: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

• AV:N (Вектор доступа: Сетевой) — атака выполняется удалённо по сети, без необходимости физического доступа к целевому устройству.
• AC:H (Сложность атаки: Высокая) — успешная эксплуатация требует специфической конфигурации NGINX и дополнительных условий (например, отключённого ASLR для достижения RCE).
• PR:N (Привилегии: Не требуются) — злоумышленнику не требуется проходить аутентификацию или обладать какими-либо учётными данными.
• UI:N (Взаимодействие с пользователем: Не требуется) — атака не требует участия легитимного пользователя целевой системы.
• S:U (Влияние на смежные системы: Не оказывает) — уязвимость затрагивает только сам процесс NGINX и не распространяется на другие компоненты.
• C:H (Конфиденциальность: Высокая) — полное нарушение конфиденциальности данных, обрабатываемых скомпрометированным процессом.
• I:H (Целостность: Высокая) — полное нарушение целостности; злоумышленник может выполнять произвольный код.
• A:H (Доступность: Высокая) — полное нарушение доступности сервиса вплоть до полного отказа в обслуживании.

Корень проблемы — несогласованность между двумя проходами скриптового движка NGINX: при вычислении длины буфера флаг is_args сброшен, а при копировании данных — установлен, что приводит к записи URI-экранированных данных за пределы выделенной области. Эксплуатация использует технику «heap feng shui» через тело POST-запросов и последующее перенаправление указателя очистки пула на поддельную структуру, вызывающую system().

Условия эксплуатации:

🔒 Условия эксплуатации и ссылки на эксплоиты — только в закрытом канале

На блоге: CVE, CVSS, вектор атаки — информация из открытых источников.

В канале: уникальный анализ, который позволяет:

• Понять, применима ли уязвимость к вашим системам
• Получить ссылки на эксплоиты для проверки своих систем
• Еженедельно получать разборы новых уязвимостей

Подробнее о канале → | Пример разбора