【缝隙公告】NGINX map 指令正则匹配缝隙(CVE-2026-42533)

颁布功夫 2026-07-22

一、缝隙概述



缝隙概述.png


NGINX是一款高机能开源Web服务器、反向代理服务器及负载平衡平台，宽泛利用于互联网服务、API网关、静态资源分发和微服务架构中  。NGINX Plus是其贸易版本，提供加强的负载平衡、监控治理和企业级支持能力  。NGINX支持丰硕的配置指令，可通过map等�？槭迪忠笃ヅ洹⒈淞孔患傲髁拷谠斓戎澳�  。


2026年7月22日，Z6人生就是博安全应急响应中心（VSRC）监测到NGINX map指令正则匹配缝隙  。该缝隙源于map指令启用正则匹配时，对正则捕获变量和map输出变量的引用挨次处置不当，或在特定前提下使用不成缓存变量参加字符串表白式推算，可能导致NGINX worker过程产生堆缓冲区溢出  。攻击者无需身份认证即可通过发送特造HTTP要求触发缝隙，在受影响环境中造成NGINX服务异常沉启，导致回绝服务（DoS）  。在指标系统未启用ASLR（地址空间布局随机化）或攻击者可能绕过ASLR防护时，进一步可能实现远程代码执行，影响系统可用性和安全性  。



二、影响领域



NGINX Plus 37.x：

37.0.0.1 ≤ NGINX Plus < 37.0.3.1

NGINX Plus Rx：

R33 ≤ NGINX Plus < R36 P7

NGINX Open Source 1.x：

1.31.0 ≤ NGINX Open Source < 1.31.3

1.30.0 ≤ NGINX Open Source < 1.30.4

NGINX Instance Manager 2.x：

2.17.0 ≤ NGINX Instance Manager < 2.22.2

F5 WAF for NGINX 5.x：

5.9.0 ≤ F5 WAF for NGINX < 5.13.4

NGINX App Protect WAF 5.x：

5.2.0 ≤ NGINX App Protect WAF ≤ 5.8.0

NGINX App Protect WAF 4.x：

4.11.0 ≤ NGINX App Protect WAF ≤ 4.16.0

NGINX Gateway Fabric 2.x：

2.0.0 ≤ NGINX Gateway Fabric < 2.6.7

NGINX Gateway Fabric 1.x：

1.3.0 ≤ NGINX Gateway Fabric ≤ 1.6.2

NGINX Ingress Controller 5.x：

2026-lts-r1 ≤ NGINX Ingress Controller ≤ 2026-lts-r3

5.0.0 ≤ NGINX Ingress Controller ≤ 5.5.2

NGINX Ingress Controller 4.x：

4.0.0 ≤ NGINX Ingress Controller ≤ 4.0.1

NGINX Ingress Controller 3.x：

3.5.0 ≤ NGINX Ingress Controller ≤ 3.7.2



三、安全措施



3.1 升级版本


官方已颁布建复补丁，以建复该缝隙  。


NGINX Plus >= 37.0.3.1

NGINX Plus >= R36 P7

NGINX Open Source >= 1.31.3

NGINX Open Source >= 1.30.4

NGINX Instance Manager >= 2.22.2

F5 WAF for NGINX >= 5.13.4

NGINX Gateway Fabric >= 2.6.7

NGINX Ingress Controller >= 2026-lts-r4

NGINX Ingress Controller >= 5.5.3


对于官方象征 Fixes introduced in: None 的产品版本（如 NGINX App Protect WAF、部门 NGINX Gateway Fabric、NGINX Ingress Controller 分支），建议升级至官方支持且已建复缝隙的代替版本，或凭据 F5 官方后续安全布告进行版本更新  。


下载链接：

https://my.f5.com/manage/s/article/K000162097/


3.2 一时措施


使用唯一定名正则捕获变量代替匿名捕获组，预防跨map、location等配置块沉复使用捕获变量，并查抄正则匹配变量引用挨次  。

排查map指令中的正则匹配规定，预防在字符串表白式中引用不成缓存变量  。

确保服务器启用ASLR、NX等内存�；せ�，并使用最幼权限运行NGINX worker过程  。

部署WAF检测异常HTTP要求，限度敏感服务接见起源，并加强异常流量监控  。


3.3 通用建议


定期更新系统补丁，削减系统缝隙，提升服务器的安全性  。

加强系统和网络的接见节造，批改防火墙战术，关关非必要的利用端口或服务，削减将危险服务（如SSH、RDP等）露出到公网，削减攻击面  。

使用企业级安全产品，提升企业的网络安全机能  。

加强系统用户和权限治理，启用多成分认证机造和最幼权限准则，用户和软件权限应维持在最低限度  。

启用强密码战术并设置为定期批改  。


3.4 参考链接


https://my.f5.com/manage/s/article/K000162097/

https://nvd.nist.gov/vuln/detail/CVE-2026-42533