Introduzione
La vulnerabilità CVE-2026-42945 nel modulo ngx_http_rewrite_module di NGINX consente agli aggressori di eseguire codice arbitrario sul server sfruttando una vulnerabilità di overflow del buffer nella pila. Questa vulnerabilità può essere sfruttata con una singola richiesta HTTP malformata, senza richiedere autenticazione o movimento laterale.
Implicazioni
La velocità di attacco è di soli 29 minuti, come riportato da CrowdStrike nel 2026. Tuttavia, i cicli di patching per l'infrastruttura web critica spesso superano le 72 ore. Ciò significa che gli aggressori hanno un ampio margine di tempo per sfruttare la vulnerabilità prima che venga patchata.
Contromisure
Per difendersi da questa vulnerabilità, è possibile adottare alcune contromisure:
- Validazione delle richieste HTTP all'edge, per bloccare le richieste malformate prima che raggiungano NGINX
- Segmentazione delle istanze NGINX dalle API interne e dagli store di identità, per isolare la vulnerabilità
- Deploy di runtime application self-protection (RASP) per NGINX, per rilevare e terminare gli tentativi di sfruttamento in tempo reale
Conclusione
La vulnerabilità CVE-2026-42945 rappresenta un rischio significativo per l'infrastruttura web, data la sua facilità di sfruttamento e la velocità di attacco. È fondamentale adottare contromisure efficaci per proteggere i server NGINX da questo tipo di attacchi.