NGINX DAV: RCE pre-autenticazione scoperto da Calif.io in collaborazione con

Una vulnerabilità nel modulo HTTP DAV di NGINX consente esecuzione di codice remoto senza autenticazione. L'advisory ZDI-26-578, pubblicato il 13 agosto 2026 dal programma Zero Day Initiative di Trend Micro, documenta il flaw assegnato CVE-2026-27654. La scoperta è attribuita a Calif.io in collaborazione con Claude e Anthropic Research, con disclosure coordinata iniziata il 6 marzo 2026. Le fonti non specificano il ruolo esatto di Claude né documentano precedenti storici; non è possibile stabilire se questa rappresenti una novità assoluta nel campo. Versioni specifiche di NGINX affette non sono note; patch non è confermata nelle fonti primarie.

Il meccanismo: come l'alias in prefix location diventa un vettore di attacco

La vulnerabilità risiede nel parsing delle richieste WebDAV quando la configurazione NGINX impiega tre elementi in combinazione: il modulo ngx_http_dav_module, una location di tipo prefix (non espressione regolare), e la direttiva alias. L'advisory ZDI descrive il flaw come conseguenza della "mancata validazione di dati forniti dall'utente, che può causare un integer underflow prima della scrittura in memoria".

Il record CVE-2026-27654 precisa che la condizione si attiva con i metodi MOVE o COPY del protocollo WebDAV. Il calcolo di dimensioni o offset per la gestione dei path fallisce in sottoflusso intero. Il risultato è una scrittura fuori bounds nel contesto del worker process.

La distinzione tra "prefix location" e "regex location" è tecnica ma rilevante: la prima usa corrispondenza prefisso semplice, la seconda espressioni regolari. Il bug non colpisce configurazioni con location ~ o equivalenti regex. Molte installazioni con WebDAV per condivisione file usano location prefix con alias per mappare path virtuali su directory fisiche.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of NGINX. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-578

Dal sottoflusso al buffer overflow: la catena tecnica

L'advisory ZDI descrive esplicitamente un integer underflow. Il record CVE utilizza la formulazione "buffer overflow". Le due descrizioni indicano probabilmente la stessa catena causale: l'underflow nel calcolo intero come causa root, il buffer overflow come conseguenza sulla memoria.

Il CVSS 3.1 pubblicato su CVE.org — vettore AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H — classifica l'attacco come remoto, a bassa complessità, senza privilegi né interazione utente. Lo scope è unchanged: l'exploit rimane confinato al worker process NGINX. La mancanza di impatto confidenziale e l'integrità limitata a "Low" riflettono le restrizioni del contesto di esecuzione.

Il CVSS 4.0 eleva il punteggio a 8.8, pur mantenendo severity HIGH. La discrepanza tra versioni del framework di scoring non altera la valutazione operativa: la vulnerabilità è critica per la disponibilità del servizio, meno per la compromissione dati.

Attribuzione e limiti delle fonti

Il record CVE riporta: "F5 acknowledges Calif.io in collaboration with Claude and Anthropic Research for bringing this issue to our attention and following the highest standards of coordinated disclosure". La formulazione "in collaboration with" indica partecipazione congiunta, non scoperta autonoma dell'AI.

L'advisory ZDI fornisce il meccanismo del flaw; il record CVE integra con CVSS e condizioni tecniche. Nessuna delle fonti offre dettagli exploit o metriche di esposizione. Il brief non documenta tecniche di interpretabilità o metodologia di verifica umana. Su questo punto, il dossier presenta un limite informativo.

Cosa fare adesso

• Verificare se le configurazioni NGINX in uso abilitano il modulo ngx_http_dav_module con direttiva alias in location prefix: questa combinazione specifica è la condizione necessaria documentata dalle fonti
• Controllare la presenza di metodi MOVE e COPY nelle configurazioni WebDAV attive
• Monitorare i canali ufficiali F5/NGINX per aggiornamenti su versioni affette e patch: le fonti non indicano versioni specifiche né confermano disponibilità di fix
• Valutare restrizioni di accesso alle interfacce WebDAV esposte, in attesa di chiarimenti dal vendor
• Rivedere i log per richieste anomale su endpoint WebDAV con pattern MOVE/COPY

Contesto e limiti informativi

La disclosure coordinata è iniziata il 6 marzo 2026; il rilascio pubblico è avvenuto il 13 agosto 2026. Questo intervallo di circa cinque mesi rientra nelle timeline standard del programma ZDI. Le fonti non forniscono dati su precedenti collaborazioni simili tra team di ricerca e modelli linguistici nel vulnerability research.

Il record CVE indica che "Software versions which have reached End of Technical Support are not evaluated". Questa nota non chiarisce quali versioni supportate siano affette. L'advisory ZDI non elenca versioni specifiche nel testo disponibile.

L'impatto alternativo documentato include la terminazione del worker process o la modifica di nomi file source/destination fuori dal document root. Queste condizioni si verificano nel medesimo contesto di configurazione vulnerabile.

Chiusura

CVE-2026-27654 è una vulnerabilità HIGH nel modulo HTTP DAV di NGINX, sfruttabile senza autenticazione in configurazioni con alias e prefix location. La scoperta da parte di Calif.io in collaborazione con Claude e Anthropic Research è formalmente riconosciuta nel record CVE. Le fonti primarie — advisory ZDI e record CVE — forniscono il meccanismo del flaw e le condizioni tecniche, ma non documentano versioni affette, patch disponibili o dettagli exploit. La valutazione del rischio richiede verifica diretta delle configurazioni NGINX esposte.