【误差通告】NGINX map 指令正则匹配误差(CVE-2026-42533)

宣布时间 2026-07-22

一、误差概述



误差概述.png


NGINX是一款高性能开源Web服务器、反向代理服务器及负载平衡平台 ，普遍应用于互联网服务、API网关、静态资源分发和微服务架构中。NGINX Plus是其商业版本 ，提供增强的负载平衡、监控管理和企业级支持能力。NGINX支持富厚的设置指令 ，可通过map等� ？槭迪智肭笃ヅ洹⒈淞孔患傲髁靠刂频裙π�。


2026年7月22日 ，酷游官网清静应急响应中心（VSRC）监测到NGINX map指令正则匹配误差。该误差源于map指令启用正则匹配时 ，对正则捕获变量和map输出变量的引用顺序处置惩罚不当 ，或在特定条件下使用不可缓存变量加入字符串表达式盘算 ，可能导致NGINX worker历程爆发堆缓冲区溢出。攻击者无需身份认证即可通过发送特制HTTP请求触发误差 ，在受影响情形中造成NGINX服务异常重启 ，导致拒绝服务（DoS）。在目的系统未启用ASLR（地址空间结构随机化）或攻击者能够绕过ASLR防护时 ，进一步可能实现远程代码执行 ，影响系统可用性和清静性。



二、影响规模



NGINX Plus 37.x：

37.0.0.1 ≤ NGINX Plus < 37.0.3.1

NGINX Plus Rx：

R33 ≤ NGINX Plus < R36 P7

NGINX Open Source 1.x：

1.31.0 ≤ NGINX Open Source < 1.31.3

1.30.0 ≤ NGINX Open Source < 1.30.4

NGINX Instance Manager 2.x：

2.17.0 ≤ NGINX Instance Manager < 2.22.2

F5 WAF for NGINX 5.x：

5.9.0 ≤ F5 WAF for NGINX < 5.13.4

NGINX App Protect WAF 5.x：

5.2.0 ≤ NGINX App Protect WAF ≤ 5.8.0

NGINX App Protect WAF 4.x：

4.11.0 ≤ NGINX App Protect WAF ≤ 4.16.0

NGINX Gateway Fabric 2.x：

2.0.0 ≤ NGINX Gateway Fabric < 2.6.7

NGINX Gateway Fabric 1.x：

1.3.0 ≤ NGINX Gateway Fabric ≤ 1.6.2

NGINX Ingress Controller 5.x：

2026-lts-r1 ≤ NGINX Ingress Controller ≤ 2026-lts-r3

5.0.0 ≤ NGINX Ingress Controller ≤ 5.5.2

NGINX Ingress Controller 4.x：

4.0.0 ≤ NGINX Ingress Controller ≤ 4.0.1

NGINX Ingress Controller 3.x：

3.5.0 ≤ NGINX Ingress Controller ≤ 3.7.2



三、清静步伐



3.1 升级版本


官方已宣布修复补丁 ，以修复该误差。


NGINX Plus >= 37.0.3.1

NGINX Plus >= R36 P7

NGINX Open Source >= 1.31.3

NGINX Open Source >= 1.30.4

NGINX Instance Manager >= 2.22.2

F5 WAF for NGINX >= 5.13.4

NGINX Gateway Fabric >= 2.6.7

NGINX Ingress Controller >= 2026-lts-r4

NGINX Ingress Controller >= 5.5.3


关于官方标记 Fixes introduced in: None 的产品版本（如 NGINX App Protect WAF、部分 NGINX Gateway Fabric、NGINX Ingress Controller 分支） ，建议升级至官方支持且已修复误差的替换版本 ，或凭证 F5 官方后续清静通告举行版本更新。


下载链接：

https://my.f5.com/manage/s/article/K000162097/


3.2 暂时步伐


使用唯一命名正则捕获变量替换匿名捕获组 ，阻止跨map、location等设置块重复使用捕获变量 ，并检查正则匹配变量引用顺序。

排查map指令中的正则匹配规则 ，阻止在字符串表达式中引用不可缓存变量。

确保服务器启用ASLR、NX等内存�；せ� ，并使用最小权限运行NGINX worker历程。

安排WAF检测异常HTTP请求 ，限制敏感服务会见泉源 ，并增强异常流量监控。


3.3 通用建议


按期更新系统补丁 ，镌汰系统误差 ，提升服务器的清静性。

增强系统和网络的会见控制 ，修改防火墙战略 ，关闭非须要的应用端口或服务 ，镌汰将危险服务（如SSH、RDP等）袒露到公网 ，镌汰攻击面。

使用企业级清静产品 ，提升企业的网络清静性能。

增强系统用户和权限管理 ，启用多因素认证机制和最小权限原则 ，用户和软件权限应坚持在最低限度。

启用强密码战略并设置为按期修改。


3.4 参考链接


https://my.f5.com/manage/s/article/K000162097/

https://nvd.nist.gov/vuln/detail/CVE-2026-42533