Nginx zaifliklari 20 yil: NGINX Rift sizni bugun patch qilishga majbur qiladi!
Nginx zaifliklari: 18 yillik xato bugun patch talab qilmoqda
Nginx serverida 18 yildan beri yashirin zaiflik topildi. F5 kompaniyasi to'rt xatoni tuzatdi. Eng ogiri — "NGINX Rift" deb nomlangan CVE-2026-42945. Infra jamoangiz darhol yangilashga tayyor bo'lsin.
Nima uchun bu xavfli?
Bu zaiflik rewrite modulida heap buffer overflow. 2008-yildagi 0.6.27 versiyasidan beri mavjud.
Hujum yo'li: Autentifikatsiyasiz bir HTTP so'rov yetarli. Murakkablik yo'q.
Zarar: ASLR yo'q bo'lsa, remote code execution. Bo'lsa ham, DoS — worker jarayonlari o'lib, qayta ishga tushadi.
Bahosi: CVSS 9.2, critical daraja.
Qanday qilib shunday uzoq yashadi?
Rewrite qoidalari PCRE bilan ishlaydi. Nomsiz guruhlar ($1, $2) keyin boshqa rewrite, if yoki set bo'lsa, xotira chegarasidan oshib ketadi. Klassik buffer overflow. Mashhur loyihalar ham eski xatolardan xalos emas. Nginx millionlab serverlarda ishlaydi.
Kim yangilashi shart?
NGINX Plus: R32-R36 bo'lsa, R32 P6 yoki R36 P4 o'rnating.
Open Source: 1.0.0-1.30.0 zaif. 1.30.1 yoki 1.31.0 ga o'ting.
Eski versiyalar: 0.6.27-0.9.7 ga patch yo'q. To'liq yangilang.
Vaqtincha yechim
Yangilay olmasangiz, rewrite da nomsiz guruhlarni nomli qiling. Masalan:
# Xavfli
rewrite ^/user/([0-9]+)$ /profile?id=$1 last;
# Xavfsizroq
rewrite ^/user/(?<id>[0-9]+)$ /profile?id=$id last;
Bu faqat yamoq. Patchni tezda qiling.
Boshqa uchta CVE
- CVE-2026-42946 (8.3 High): SCGI/uWSGI da xotira haddan tashqari — DoS.
- CVE-2026-40701 (6.3 Medium): SSL modulida use-after-free.
- CVE-2026-42934 (4.8 Medium): Charset da chegara tashqarisi o'qish.
Rift kabi emas, lekin navbatda tuzating.
Darslar
- Mashhurlik himoya emas. 18 yil yashirin qoldi.
- Eski kod xavf. Vaqt o'tgan sari muammo ko'payadi.
- Patch eng sekin joyingizda. Bitta server butun tizimni xavfga soladi.
- Monitoring kerak. DoS darhol ishni to'xtatadi.
Xulosa
Nginx ishlatayotgan bo'lsangiz, bu patchni favqulodda deb bil. Oddiy hujum, yuqori xavf. Stagingda sinab, productionga tez qo'ying. Konfiguratsiyalarni tekshiring, eski versiyalarni toping. Xavfsiz bo'ling!