In der Webserver-Software Nginx wurde eine kritische Sicherheitslücke (CVE-2026-42533) entdeckt. Sie steckt im map-Direktive-Werkzeug, das für die Variablenzuordnung bei der Verarbeitung von regulären Ausdrücken zuständig ist. Entfernte Angreifer können ohne Authentifizierung präparierte HTTP-Anfragen schicken, die einen Heap Buffer Overflow auslösen.
DoS und Schadcode möglich
Ein erfolgreicher Angriff kann zunächst zum Absturz des Servers führen. Ist der Schutzmechanismus ASLR deaktiviert oder lässt er sich umgehen, besteht zusätzlich die Möglichkeit, Schadcode einzuschleusen und das System vollständig zu kompromittieren. Die Hürden für einen Angriff sind nicht besonders hoch. Bislang gibt es seitens F5 keine Hinweise auf laufende Angriffe, das kann sich jedoch ändern.
Betroffene Versionen und Patches
Die Schwachstelle betrifft Nginx in den Versionen 0.9.6 bis einschließlich 1.31.2. Gepatcht wurde sie in den Versionen 1.31.3 und 1.30.4. Für F5-Produkte, die Nginx einbetten, stehen zum Teil bereits Korrekturen bereit: Nginx Plus 37.0.3.1 und R36 P7, Nginx Open Source 1.31.3 und 1.30.4, Nginx Gateway Fabric 2.6.7 sowie Nginx Ingress Controller 2026-lts-r45.5.3. Für Nginx Instance Manager und Nginx App Protect WAF stehen Updates noch aus. Admins sollten die verfügbaren Patches zügig einspielen.