【漏洞】CVE-2026-42945：NGINX ngx_http_rewrite_module 堆缓冲区溢出深度分析

2026年5月，F5 Networks与美国国家漏洞数据库（NVD）同步披露了CVE-2026-42945。该漏洞存在于NGINX的ngx_http_rewrite_module模块中，根源是一个存在了将近二十年的代码逻辑错误（2008年引入）。

攻击者通过构造特定的HTTP请求，利用rewrite指令配合未命名PCRE捕获组（如 $1、$ 2）且替换字符串中包含问号（?）的场景，可触发堆缓冲区溢出，严重情况下可实现远程代码执行（RCE）。

产品	受影响版本	修复版本
NGINX Open Source	0.6.27 -- 1.30.0	1.31.0、1.30.1
NGINX Plus	R32 -- R36	R36 P4、R35 P2、R32 P6

NGINX的ngx_http_rewrite_module在处理rewrite规则时，采用了两个独立的处理阶段：

问题出在is_args标志的传递逻辑上。当rewrite替换字符串中包含问号（?）时，is_args标志会在主引擎上被设置为1。然而，长度计算阶段是在一个重新初始化的子引擎（fresh sub-engine）上执行的，该子引擎的is_args初始值为0。

这个标志位差异导致了两个阶段处理逻辑的分裂：

**长度计算阶段：**is_args=0，系统认为不需要对URI参数进行转义，直接返回原始捕获组（如$1）的字符长度。
**复制阶段：**is_args=1，系统调用ngx_escape_uri并使用NGX_ESCAPE_ARGS标志对可转义字符进行URL编码转义。每个可转义字节会被扩展为3个字节（%XX格式）。

结果：复制阶段实际写入的数据量 > 长度计算阶段预分配的缓冲区大小，堆缓冲区溢出就此形成。

漏洞的触发需要rewrite指令配合以下条件：

复制代码

rewrite 正则表达式 替换字符串(包含?) [标志位];

替换字符串中必须包含问号（?），且使用了未命名PCRE捕获组（ $1、$ 2等）的引用。

最直接的影响是NGINX worker进程因堆缓冲区溢出而崩溃，触发自动重启。在默认编译配置下，ASLR会随机化内存布局，攻击者难以精确控制溢出数据走向，DoS是最常见的实际危害。

在特定条件下，攻击者可以实施RCE：

这是最根本的修复方式：

如果暂时无法升级，可采取以下措施降低风险：

建议在WAF/IDS设备上添加针对以下特征的检测规则：

CVE-2026-42945是一个典型的因历史代码逻辑缺陷累积而成的严重漏洞，2008年引入的bug在十八年后才被发现和修复。其双阶段处理中is_args标志传递不一致的问题，暴露了NGINX rewrite模块在安全边界处理上的设计疏漏。

漏洞的CVSS评分达到9.3（Critical），理论上支持RCE利用，但实际利用需要攻击者具备精确的堆布局控制能力，门槛不低。尽管如此，考虑到NGINX在全球Web服务器的极高占有率（Apache外最广泛使用的HTTP服务器），此漏洞的影响面不容轻视。

建议所有使用NGINX的用户尽快确认当前版本，如在受影响范围内应立即升级或采取临时缓解措施。

参考来源：