Se han descubierto varias vulnerabilidades en NGINX Plus y Open Source, destacando una falla crítica llamada NGINX Rift que existía desde hace 18 años. Esta debilidad permite que atacantes no autenticados ejecuten código remoto o causen denegaciones de servicio mediante solicitudes HTTP manipuladas. F5 ya ha lanzado parches para corregir estos errores y recomienda actualizar sus sistemas de inmediato.



Investigadores de ciberseguridad han revelado múltiples vulnerabilidades de seguridad que afectan a NGINX Plus y NGINX Open, incluyendo un fallo crítico que permaneció indetectado durante 18 años.

La vulnerabilidad, descubierta por depthfirst, es un problema de desbordamiento de búfer de montón (heap buffer overflow) que afecta al módulo ngx_http_rewrite_module (CVE-2026-42945, puntuación CVSS v4: 9.2) que podría permitir a un atacante lograr la ejecución remota de código o causar una denegación de servicio (DoS) mediante solicitudes manipuladas. Ha sido bautizada como NGINX Rift.

"NGINX Plus y NGINX Open Source tienen una vulnerabilidad en el módulo ngx_http_rewrite_module", afirmó F5 en un aviso publicado el miércoles en este enlace. "Esta vulnerabilidad existe cuando la directiva rewrite es seguida por una directiva rewrite, if, o set y una captura de Expresión Regular Compatible con Perl (PCRE) sin nombre (por ejemplo, $1, $2) con una cadena de sustitución que incluye un signo de interrogación (?)."

"Un atacante no autenticado, junto con condiciones fuera de su control, puede explotar esta vulnerabilidad enviando solicitudes HTTP manipuladas. Esto puede causar un desbordamiento del búfer de montón en el proceso trabajador de NGINX, provocando un reinicio. Además, para los sistemas con la aleatorización del diseño del espacio de direcciones (ASLR) desactivada, la ejecución de código es posible."

El problema ha sido solucionado en las siguientes versiones tras la divulgación responsable el 21 de abril de 2026:

• * NGINX Plus R32 - R36 (Correcciones introducidas en R32 P6 y R36 P4)
• * NGINX Open Source 1.0.0 - 1.30.0 (Correcciones introducidas en 1.30.1 y 1.31.0)
• * NGINX Open Source 0.6.27 - 0.9.7 (No hay correcciones planificadas)
• * NGINX Instance Manager 2.16.0 - 2.21.1
• * F5 WAF for NGINX 5.9.0 - 5.12.1
• * NGINX App Protect WAF 4.9.0 - 4.16.0
• * NGINX App Protect WAF 5.1.0 - 5.8.0
• * F5 DoS for NGINX 4.8.0
• * NGINX App Protect DoS 4.3.0 - 4.7.0
• * NGINX Gateway Fabric 1.3.0 - 1.6.2
• * NGINX Gateway Fabric 2.0.0 - 2.5.1
• * NGINX Ingress Controller 3.5.0 - 3.7.2
• * NGINX Ingress Controller 4.0.0 - 4.0.1
• * NGINX Ingress Controller 5.0.0 - 5.4.1

En su propio aviso, depthfirst señaló que la vulnerabilidad podría permitir a un atacante remoto no autenticado corromper el montón de un proceso trabajador de NGINX enviando un URI manipulado. Lo que hace que la vulnerabilidad sea grave es que es accesible sin autenticación, puede usarse de manera fiable para provocar el desbordamiento del montón y puede conducir a la ejecución remota de código en el proceso trabajador de NGINX.

"Un atacante que pueda llegar a un servidor NGINX vulnerable a través de HTTP puede enviar una sola solicitud que desborda el montón en el proceso trabajador y logra la ejecución remota de código", dijo depthfirst. "No hay paso de autenticación, no hay requisito de acceso previo y no es necesaria una sesión existente."

"Los bytes escritos más allá de la asignación se derivan del URI del atacante, por lo que la corrupción está moldeada por el atacante en lugar de ser aleatoria. Las solicitudes repetidas también pueden usarse para mantener a los trabajadores en un bucle de fallos y degradar la disponibilidad de cada sitio servido por la instancia."

También se han parcheado en NGINX Plus y NGINX Open Source otros tres fallos:

• CVE-2026-42946 enlace (puntuación CVSS v4: 8.3) - Una vulnerabilidad de asignación excesiva de memoria en los módulos ngx_http_scgi_module y ngx_http_uwsgi_module que podría permitir a un atacante remoto no autenticado con capacidades de adversario en el medio (AitM) controlar las respuestas de un servidor upstream para leer la memoria del proceso trabajador de NGINX o reiniciarlo cuando scgi_pass o uwsgi_pass estén configurados.
• CVE-2026-40701 enlace (puntuación CVSS v4: 6.3) - Una vulnerabilidad de uso después de liberación (use-after-free) en el módulo ngx_http_ssl_module que podría permitir a un atacante remoto no autenticado tener un control limitado de la modificación de datos o reiniciar el proceso trabajador de NGINX cuando la directiva ssl_verify_client esté configurada en "on" o "optional", y la directiva ssl_ocsp esté configurada en "on".
• CVE-2026-42934 enlace (puntuación CVSS v4: 6.3) - Una vulnerabilidad de lectura fuera de límites en el módulo ngx_http_charset_module que podría permitir a un atacante remoto no autenticado revelar el contenido de la memoria o reiniciar el proceso trabajador de NGINX cuando estén configuradas las directivas charset, source_charset, charset_map, y proxy_pass con el almacenamiento en búfer desactivado ("off").

Se recomienda a los usuarios aplicar las versiones más recientes para una protección óptima. Si el parcheo inmediato no es una opción para CVE-2026-42945, se aconseja a los usuarios cambiar la configuración de rewrite sustituyendo las capturas sin nombre por capturas con nombre en cada directiva de rewrite afectada.

Fuente:
THN