Scanner pubblico per la vulnerabilità NGINX map regex: l'exploit RCE è atteso

Il ricercatore Stan Shaw, noto come cyberstan, ha pubblicato il 20 luglio 2026 uno scanner statico open source per rilevare configurazioni vulnerabili a CVE-2026-42533. La vulnerabilità, una heap buffer overflow nel motore script di NGINX attiva da interazioni tra direttive map con regex e variabili di cattura precedenti, ha un impatto potenzialmente critico secondo le rivendicazioni del ricercatore. Shaw sostiene che la falla bypassi autonomamente l'ASLR tramite un primitive di information leak, rendendo l'esecuzione remota di codice affidabile anche su sistemi con ASLR attivo. L'exploit completo è atteso intorno al 5 agosto, lasciando alle organizzazioni circa due settimane per intervenire.

Limiti delle fonti: Le rivendicazioni di Shaw sul bypass ASLR non sono state verificate indipendentemente; il proof-of-concept è atteso ma non garantito per la data indicata. Le informazioni si basano sulle dichiarazioni del ricercatore e sulle fonti citate; l'assenza di exploit pubblico impedisce la verifica indipendente.

Il meccanismo: come una regex map corrompe lo stato di cattura

Il difetto risiede nel motore script a due passaggi di NGINX. Durante il primo passaggio (LEN), il sistema alloca un buffer basandosi sulla misurazione della lunghezza usando lo stato di cattura della regex. Durante il secondo passaggio (VALUE), la stessa valutazione regex della mappa può sovrascrivere lo stato di cattura tramite l'array condiviso r->captures.

Questo crea una discrepanza fondamentale: il buffer è dimensionato per una cattura, ma viene scritto con un'altra. Se il rimpiazzo è più lungo, si verifica un overflow del buffer heap. Secondo le rivendicazioni del ricercatore, il sistema potrebbe leggere byte non inizializzati dell'heap. Shaw ha identificato almeno 13 siti di chiamata indipendenti in 9 file sorgente del codice NGINX, con impatto sia sui moduli HTTP che su quelli stream.

Il divario tra advisory F5 e rivendicazioni del ricercatore

L'advisory di F5 del 15 luglio 2026 descrive CVE-2026-42533 con una condizione precisa: l'esecuzione remota di codice è possibile solo con "ASLR disabilitato o bypassabile". Shaw contesta questa formulazione.

CLAIM — Ricercatore: Secondo Shaw, la vulnerabilità stessa fornisce il meccanismo di bypass attraverso il primitive di information leak, rendendo superflua qualsiasi precondizione esterna sull'ASLR. The Hacker News riporta il parere del ricercatore secondo cui "la falla fornisce il bypass stesso".

"Un lettore dell'advisory F5 potrebbe ragionevolmente concludere che sui sistemi predefiniti si tratti solo di DoS. Non è così." — Stan Shaw (cyberstan) a The Hacker News

Shaw ha dichiarato di aver raggiunto esecuzione remota di codice con affidabilità rivendicata di 10 su 10 su Ubuntu 24.04 con ASLR abilitato, utilizzando circa 40 connessioni di spray tra la richiesta di leak e il trigger dell'overflow. Questa affermazione, se confermata dalla pubblicazione del proof-of-concept, rimuoverebbe una barriera comune all'exploitation che i team di difesa considerano standard.

Il punteggio CVSS 4.0 assegnato da F5 è 9.2 (Critical), mentre il CVSS 3.1 legacy è 8.1 (High), entrambi secondo il record ufficiale CVE.org e l'entry NVD. Il National Vulnerability Database classifica la vulnerabilità come CWE-122.

Perché la mitigazione temporanea di F5 è incompleta

F5 ha proposto come mitigazione temporanea la sostituzione delle catture numerate con catture nominate (named captures). Shaw ha verificato con AddressSanitizer che questa contromisura lascia aperto un secondo percorso: quando una mappa definisce lo stesso gruppo nominato di una regex di location, il meccanismo di overflow viene raggiunto attraverso una variante diversa.

Il ricercatore ha quindi ribadito che "l'aggiornamento a 1.30.4 / 1.31.3 è l'unica correzione completa".

Cosa fare adesso

• Audit delle configurazioni con lo scanner rilasciato: utilizzare lo strumento open source 0xCyberstan/CVE-2026-42533-Config-Scanner, pubblicato su GitHub il 20 luglio 2026, per identificare configurazioni con direttive map che impiegano regex con variabili di cattura numerate.
• Aggiornamento alle versioni corrette: installare NGINX 1.30.4 (ramo stable), 1.31.3 (ramo mainline) o NGINX Plus 37.0.3.1, secondo le release notes ufficiali del vendor.
• Valutazione per ingress-nginx: il repository Kubernetes ingress-nginx è archiviato e distribuisce NGINX 1.27.1, che non riceverà correzione dal vendor.
• Pianificazione per la finestra di disclosure: considerate le circa 21 giorni di embargo dalla patch (15 luglio) alla stima del 5 agosto 2026, i team devono completare il patching prima della potenziale pubblicazione dell'exploit completo.

Precedente e contesto: la lezione di CVE-2026-42945

Il caso richiama la recente vulnerabilità NGINX Rift (CVE-2026-42945), attivamente exploitata nei giorni successivi alla disclosure. Sebbene le due vulnerabilità condividano una radice strutturale nel motore regex di NGINX, sono entità distinte: CVE-2026-42533 rimane non presente nel catalogo KEV di CISA al 20 luglio 2026, con nessun exploit pubblico confermato al di là dello scanner di configurazione.

La natura del disclosure — patch pubblica, scanner immediato, exploit differito — rappresenta una configurazione temporale ad alto rischio per le organizzazioni che gestiscono circa un terzo dei server web globali su NGINX.