Alerta crítico: nginx sob ataque por excesso de heap através de mapas baseados em expressões regulares e duas passadas; atualiza já

F5 e a equipe de nginx publicaram correcções para uma vulnerabilidade crítica (CVE-2026-42533) que permite a um atacante remoto e sem autenticação provocar um excesso de heap nos processos worker mediante pedidos HTTP especialmente construídos. A falha reside no motor de scripts do nginx, que converte diretrizes em cadeias em tempo de petição usando uma avaliação em duas passadas que pode medir e depois escrever em um búfer mal dimensionado, e as atualizações estão disponíveis no nginx 1.30.4 (stable), 1.31.3 (mainline) e NGINX Plus 37.0.3.1; qualquer versão anterior é potencialmente vulnerável.

A vulnerabilidade não é universal: aparece apenas sob uma configuração concreta. É necessário um mapa baseado em expressões regulares cujo valor de saída é usado numa expressão de cadeia logo após uma captura numerada (por exemplo, $1) de uma coincidência prévia. Nesse padrão, o primeiro último calcula quantos bytes são necessários e reserva um búfer, mas se entre médias se reevalia outro regex (o do map) que sobresscreve o estado das capturas, a segunda última cópia dados mais longos ou distintos em um búfer muito pequeno. O transbordamento e seus bytes provêm diretamente do pedido, pelo que pode provocar desde um reinício do worker (DoS) até, em condições onde ASLR está ausente ou pode ser ridicularizado, execução remota de código.

F5 coloca o impacto em 9.2 na escala CVSS v4 (8.1 na v3.1) e adverte que a complexidade do ataque é alta, mas os pesquisadores que reportaram a falha mostraram que em cenários reais a vulnerabilidade pode facilitar técnicas para recuperar endereços do heap e converter um crash em um exploit mais confiável. A gama de versões afetadas cobre nginx desde a 0.9.6 até a 1.31.2, uma pegada que recua até 2011, quando a map ganhou suporte regex.

Além do servidor central e NGINX Plus, F5 indica que componentes downstream como NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager estão afetados, embora o fechamento da nota ainda não tenha sido publicado builds corrigidos para essas variantes. Isso deixa nas mãos de administradores de ambientes geridos a necessidade de monitorar comunicações oficiais de seus fornecedores e planejar mitigações temporárias ou implantaçãos coordenadas.

A correção definitiva é a atualização às versões publicadas: nginx 1.30.4 ou 1.31.3, e NGINX Plus 37.0.3.1. Se você não pode corrigir imediatamente, F5 propõe como mitigação temporária mudar mapas regex para usar capturas com nome, uma medida que fecha a via principal descrita no advisory. No entanto, um dos pesquisadores que contribuiu para o achado alertou que essa mitigação pode não ser completa: detectou uma variante que ainda atinge um transbordamento por uma segunda rota de código, pelo que a única correção completa é aplicar a atualização oficial.

Na prática, a resposta recomendável para equipamentos de infraestrutura e segurança é dupla: primeiro, fazer inventário urgente de configurações para encontrar mapas baseados em regex cujos variáveis se referenciem em expressões junto a capturas numeradas e, segundo, planejar e implementar a atualização de pacotes do servidor nginx e de qualquer produto focado que dependa dele. Procura nos seus ficheiros de configuração padrões que usem "map" com expressões regulares e variáveis tipo $1/$2; se você confirmar a combinação vulnerável, prioriza a mitigação ou o adesivo imediato.

Também convém preparar-se para a janela de publicação de exploits: o pesquisador que ampliou o relatório anunciou que publicará um proof‐of‐concept 21 dias após o adesivo, e a experiência recente com outra falha similar (Rift) mostrou que os exploits públicos podem aparecer e passar em breve para exploração ativa. Por isso, além de adesivos ou mitigar, monitora os registros de acesso e erros em busca de pedidos anormais a endpoints que possam ativar mapas ou reescritas, e aplica detecção na rede para identificar padrões de pesquisa em massa.

Para seguir fontes e obter as releases oficiais, consulte as notas de mudança de nginx e os canais de avisos de segurança do seu fornecedor. A página de alterações do nginx para as versões afetadas aparece em suas notas oficiais, por exemplo nginx 1.30.4 e nginx 1.31.3. Também é prudente rever o catálogo de vulnerabilidades conhecidas do governo americano para ver se a falha entra numa lista prioritária: CISA Known Exploited Vulnerabilities.

Em resumo, essa vulnerabilidade exemplifica um padrão recorrente em nginx: um motor de avaliação em duas passadas que confia em sua própria medição pode falhar se o estado compartilhado é alterado entre passadas. A ação mais segura e responsável é atualizar quanto antes; as mitigações servem para ganhar tempo, não para substituir o adesivo. Se você gerencia ambientes críticos, prioriza a detecção em configurações, coordena adesivos em toda a cadeia de abastecimento (incluindo controladores Rendimentos e WAFs) e mantenha uma vigilância reforçada até que as versões corrigidas estejam instaladas em produção.