Nginx: 15 Jahre alte Lücke in Regex-Maps erlaubt Absturz und womöglich Codeausführung

Eine als kritisch eingestufte Lücke betrifft praktisch alle Nginx-Versionen der letzten 15 Jahre: CVE-2026-42533 (CVSS 9,2) steckt seit März 2011 im Code, konkret in den Versionen 0.9.6 bis 1.31.2. Der Heap-Pufferüberlauf sitzt in der Script-Engine und wird ausgelöst, wenn ein map-Block mit regulären Ausdrücken eine Variable liefert, die nach einem früheren Regex-Match mit Capture-Gruppen in einem String-Ausdruck landet. Ursache ist fehlerhaft verwalteter PCRE-Zustand über mehrere Auswertungen hinweg.

Angreifer brauchen keine Anmeldung. Sicher ist ein Absturz des Worker-Prozesses, unter Umständen — etwa bei deaktiviertem oder umgehbarem ASLR — hält der Entdecker Stan Shaw auch Codeausführung für machbar. Die Fixes: 1.30.4 (stable), 1.31.3 (mainline) und NGINX Plus 37.0.3.1. Einen öffentlichen Exploit will Shaw 21 Tage nach dem Patch nachreichen, also Anfang August.

Verwundbar ist nur, wer die beschriebene map-Konstruktion nutzt — das sollte aber niemanden beruhigen: Der Umstieg auf benannte Captures schließt laut Shaw nicht alle Pfade, verlässlich hilft nur das Update. Wer Nginx als Reverse Proxy vor den eigenen Diensten betreibt, prüft die Konfiguration am besten noch vor dem Exploit-Termin.