NGINX CVE-2026-42533の脆弱性、F5が修正

NGINXの開発元であるF5は、危険な不具合に関する新たなセキュリティ勧告を先日公開しました。この脆弱性にはCVE-2026-42533という識別番号が割り当てられています。特定の設定下では、攻撃者がこの弱点を容易に悪用できる恐れがあります。その結果、攻撃によってNGINXのワーカープロセスがクラッシュしたり、リモートコード実行が引き起こされたりする可能性があります。幸いなことに、開発チームは迅速にNGINXバージョン1.30.4および1.31.3をリリースし、この問題を修正しました。

特定の設定が引き金に

この問題は、すべてのNGINX環境に自動的に脅威を及ぼすわけではありません。むしろ、そのリスクはユーザー独自のシステム設定に大きく左右されます。具体的には、この脆弱性は正規表現のmapディレクティブ内に潜んでいます。文字列が正規表現マッチの過去の値を参照する際にトリガーされます。

技術的なオーバーフローの詳細

通常、NGINXはデータを書き込む前に必要なバッファサイズを計算します。しかし、特定のルールでは、正規表現マッチが処理途中でキャプチャ状態を変更できてしまいます。そのため、実際のデータサイズが確保済みのバッファ領域と食い違ってしまいます。この結果、深刻なスタックベースのバッファオーバーフローが発生します。

深刻度評価と影響を受けるバージョン

F5は複数の採点方式を用いて、それぞれ異なる深刻度スコアを提示しています。CVSS 4.0の基準では、この脆弱性は9.2という高いスコアを記録しています。一方、CVSS 3.1の基準では8.1のスコアとなっています。F5によれば、実際の攻撃には高度な複雑性が伴うとのことです。憂慮すべきことに、この問題はバージョン0.9.6から1.31.2までに影響します。つまり、この深刻な不具合は10年以上もの間、コード内に潜んでいたことになります。

アップデートと緩和策

F5は、すべてのウェブ開発者に対し、直ちにツールを更新するよう強く勧告しています。安全を確保するには、安定版の環境をバージョン1.30.4へ移行する必要があります。同様に、メインライン版のユーザーはバージョン1.31.3へアップグレードする必要があります。さらに、商用プラットフォームの管理者はNGINX Plusバージョン37.0.3.1を導入すべきです。加えて、公式のNGINXセキュリティ勧告ページで最新情報を常に確認できます。

暫定的な対処のリスク

即座のアップグレードが難しい場合、管理者は暫定的な対処を導入することも可能です。例えば、mapルールを名前付きキャプチャを使用する形に書き換えることができます。この対応により、$1や$2といった番号付きオプションの使用を効果的に回避できます。しかし研究者たちは、この変更が主要な攻撃経路を防ぐに過ぎないと警告しています。非常に特殊な設定下では、深刻なリスクが依然として残る可能性があります。したがって、暫定的な緩和策はあくまで短期的な移行措置として機能するに留まります。最終的には、セキュリティ上の問題を完全に解決するためにソフトウェアを更新する必要があります。