Δύο Δεκαετίες Κρυμμένων Αδυναμιών στο Nginx: Το NGINX Rift Απαιτεί Άμεση Ενημέρωση

Η F5 έβγαλε πρόσφατα patches για τέσσερις σοβαρές αδυναμίες στο Nginx. Η κύρια απειλή, το CVE-2026-42945 ή "NGINX Rift", βαθμολογείται 9.2 στο CVSS. Κάθε ομάδα υποδομών πρέπει να ενημερωθεί τώρα.

Γιατί Είναι Τόσο Επικίνδυνο Αυτό το Bug

Το πρόβλημα κρύβεται στο rewrite module του Nginx από το 2008 (version 0.6.27). Ένας heap buffer overflow που περιμένει 18 χρόνια.

Πώς Χτυπάει: Με ένα μόνο κακόβουλο HTTP request, χωρίς login ή περίπλοκα κόλπα. Σε συστήματα χωρίς ASLR, γίνεται remote code execution. Με ASLR, προκαλεί συνεχή crashes και DoS.

Γιατί Δεν το Έπιασαν: Το module χρησιμοποιεί PCRE για URL matching. Όταν rewrite κανόνες έχουν unnamed captures ($1, $2) και ακολουθούν if/set, γράφει πέρα από τα όρια της μνήμης. Κλασικό overflow που ξέφυγε από reviews.

Το Nginx τρέχει σε εκατομμύρια servers. Η παλαιότητα του κώδικα σημαίνει τεράστιο ρίσκο.

Ποιους Αφορά

NGINX Plus: Versions R32-R36 θέλουν R32 P6 ή R36 P4.

Open Source: Από 1.0.0 έως 1.30.0 επηρεάζονται. Πηγαίνετε σε 1.30.1 ή 1.31.0.

Παλιές Εκδόσεις: 0.6.27-0.9.7 δεν παίρνουν patch. Αναβάθμιση άμεσα.

Προσωρινή Λύση Αν Δεν Μπορείς να Patch

Αν είσαι σε freeze, άλλαξε unnamed captures σε named στα rewrite rules. Από $1 σε (?<id>...) και $id.

Παράδειγμα:

# Επικίνδυνο
rewrite ^/user/([0-9]+)$ /profile?id=$1 last;

# Ασφαλέστερο (προσωρινά)
rewrite ^/user/(?<id>[0-9]+)$ /profile?id=$id last;

Δεν λύνει το root cause. Patch είναι η μόνη λύση.

Οι Άλλες Τρεις Αδυναμίες

• CVE-2026-42946 (8.3 High): Υπερβολική κατανάλωση μνήμης σε SCGI/uWSGI. DoS σε proxy setups.
• CVE-2026-40701 (6.3 Medium): Use-after-free στο SSL module με ssl_verify_client/ocsp.
• CVE-2026-42934 (4.8 Medium): Out-of-bounds read στο charset module.

Δεν είναι τόσο κρίσιμες, αλλά ενημερώσου σύντομα.

Μάθημα για την Ασφάλεια

1. Δημοφιλή Projects Δεν Είναι Αήττητα: 18 χρόνια bug στο Nginx.
2. Παλιός Κώδικας = Περισσότερα Ρίσκα: Δεν είναι "battle-tested".
3. Το Αδύναμο Σημείο Σε Ρίχνει Όλο: Ένα unpatched instance τα σπάει όλα.
4. Monitor Άριστα: DoS έρχεται γρήγορα.

Τι να Κάνεις Σήμερα

Αν τρέχεις Nginx, ενημέρωσε άμεσα. Δοκίμασε σε staging, μετά production. Ελέγξτε rewrite rules και versions. Το ρίσκο είναι υπερβολικό.

Μείνε ασφαλής.