F5 ha corregido una vulnerabilidad crítica (CVE-2026-42533) en nginx que permite a atacantes remotos provocar un desbordamiento de búfer. Dependiendo de la configuración, este fallo puede causar la denegación del servicio o permitir la ejecución remota de código. Se recomienda actualizar urgentemente a las versiones nginx 1.30.4, 1.31.3 o NGINX Plus 37.0.3.1 para solucionar el problema.

F5 ha lanzado correcciones para un fallo crítico de nginx que permite a un atacante remoto y no autenticado provocar un desbordamiento de búfer de montón (heap buffer overflow) en el proceso trabajador mediante solicitudes HTTP manipuladas. El CVE-2026-42533 fue parcheado el 15 de julio en nginx 1.30.4 (estable) y 1.31.3 (mainline) (https://nginx.org/en/CHANGES), y en NGINX Plus 37.0.3.1; si usas una versión anterior, debes actualizar.

Provocar este fallo puede bloquear o reiniciar el trabajador, causando una denegación de servicio; donde el ASLR esté desactivado o pueda ser evadido, F5 afirma que también podría permitir la ejecución remota de código.

El desbordamiento reside en el motor de scripts de nginx, el código que ensambla cadenas a partir de directivas en el momento de la solicitud. Solo aparece bajo una configuración específica: un mapa basado en regex cuya variable de salida se referencia en una expresión de cadena después de una captura de una coincidencia de regex anterior.

Bajo ese patrón, la evaluación de dos pasos del motor falla. El primer paso mide cuántos bytes necesita el resultado y asigna un búfer para ajustarlo; el segundo paso escribe los bytes. Ambos leen el mismo estado de captura compartido, y evaluar el regex del mapa entre los dos pasos lo sobrescribe.

Así, el paso de medición dimensiona el búfer para la captura original, como una referencia $1 de la coincidencia de ubicación, mientras que el paso de escritura lo llena con una diferente, dimensionada por el atacante. El búfer es demasiado pequeño, y tanto la longitud como el contenido del desbordamiento provienen directamente de la solicitud.

Esto no afecta a todos los servidores nginx; la exposición depende de la configuración, no solo de la versión. El aviso de F5 (https://my.f5.com/manage/s/article/K000162097) indica que el fallo afecta a NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager, además del servidor core y NGINX Plus, aunque en el momento de la publicación F5 no había enumerado las versiones corregidas para esos cuatro productos.

F5 le asigna una puntuación de 9.2 en CVSS v4 y 8.1 en la escala v3.1 más antigua, y califica la complejidad del ataque como alta. Todas las versiones de nginx desde la 0.9.6 hasta la 1.31.2 (https://nginx.org/en/security_advisories.html) son vulnerables, un rango que se remonta a 2011, cuando map obtuvo soporte para regex.

El CVE-2026-42533 fue reportado a F5 de forma independiente por más de una docena de investigadores; el proveedor les agradeció por "llamar nuestra atención sobre este problema de forma independiente". El registro de cambios de nginx acredita la corrección a Mufeed VH de Winfunc Research y al mantenedor Maxim Dounin.

Uno de los informantes, Stan Shaw, quien publica como cyberstan, publicó un análisis detallado (https://cyberstan.co.uk/nginx-rce/) que va más allá del aviso. F5 condiciona la ejecución de código a que el ASLR esté desactivado o sea evadible, y el argumento de Shaw es que el fallo proporciona la evasión en sí misma. Declaró que la sobrescritura de captura también funciona a la inversa: cuando la captura sobrescrita es más pequeña que la original, el búfer sobredimensionado devuelve datos de montón no inicializados, y en una compilación predeterminada de Ubuntu 24.04, una sola solicitud GET no autenticada recupera las direcciones que un payload necesita.



"Un lector del aviso de F5 podría concluir razonablemente que esto es solo DoS en sistemas predeterminados. No es así", dijo Shaw. Es una afirmación más fuerte que la de F5, una que dice que tuvo éxito en 10 de 10 en sus propias pruebas, y por ahora se reserva los detalles de explotación y la prueba de concepto, por lo que nadie puede comprobarlo independientemente todavía.

La solución es actualizar a nginx 1.30.4 o 1.31.3, o NGINX Plus 37.0.3.1. Para cualquiera que no pueda parchear de inmediato, la mitigación temporal de F5 es cambiar los mapas de regex afectados a capturas con nombre, lo cual, según Shaw, cierra la ruta principal y cubre la mayoría de las configuraciones.

Pero afirmó que la mitigación deja abierta una ruta más estrecha: un mapa que define el mismo grupo con nombre que el regex de ubicación alcanza el mismo desbordamiento a través de una segunda ruta de código, lo cual confirmó con AddressSanitizer y que el aviso de F5 no menciona. "Actualizar a 1.30.4 / 1.31.3 es la única solución completa", señaló.

La exposición es limitada: un mapa basado en regex cuya variable aparece en una expresión de cadena junto a una captura numerada ($1, $2) de un regex anterior, con la captura escrita antes que la variable del mapa.

El propio escáner de Shaw (https://github.com/0xCyberstan/CVE-2026-42533-Config-Scanner) automatiza esa comprobación en una configuración, sigue las inclusiones y marca solo el orden explotable; no explota nada, pero al ser la herramienta del informante, no es un producto del proveedor.

Este es el tercer desbordamiento de montón en el código de evaluación de expresiones de nginx revelado en unos dos meses, después de Rift (CVE-2026-42945) en mayo y un error de capturas superpuestas en el módulo de reescritura (CVE-2026-9256 https://www.cve.org/CVERecord?id=CVE-2026-9256) días después.



Los tres son la misma clase de fallo: el motor de scripts de dos pasos de nginx dimensiona un búfer en un paso y escribe en él en el siguiente, y cada vez la escritura supera el tamaño medido. El detonante difiere: un flag obsoleto en Rift, capturas superpuestas en el error de reescritura, y un estado de captura sobrescrito aquí. La debilidad compartida, como nota el investigador, es un diseño de dos pasos que confía en su propia medición.

Hasta el 20 de julio, el CVE-2026-42533 no estaba en el catálogo de Vulnerabilidades Explotadas Conocidas de CISA (https://www.cisa.gov/known-exploited-vulnerabilities-catalog) y no había aparecido código de explotación público. Shaw dice que publicará su propia prueba de concepto 21 días después del parche, y Rift es el caso preventivo: su exploit se hizo público a los pocos días y atrajo una explotación activa poco después. Esa es la razón para actualizar antes de que llegue este.

Se preguntó a F5 si el cambio a capturas con nombre cierra completamente el CVE-2026-42533, dada la variante que Shaw documenta, y cuándo se lanzarían las versiones corregidas para los productos afectados. F5 no había respondido en el momento de la publicación.

Fuente:
THN