Die Lücke CVE-2026-42945 offenbart ein fundamentales Problem, das über anderthalb Dekaden unbemerkt blieb: Ein Heap-Buffer-Overflow in der Rewrite-Komponente von NGINX, der durch die Verwendung von Rewrite- und Set-Direktiven ausgelöst werden kann. Der Fehler entsteht durch einen zweistufigen Prozess im Script-Engine – erst wird die erforderliche Puffergröße berechnet, dann werden Daten kopiert. Zwischen den zwei Durchläufen ändert sich der interne Motorstatus, was bei Rewrite-Replacements mit Fragezeichen ("?") zu einer zu kleinen Pufferallokation führt.
Wie die Sicherheitsfirma Depthfirst erklärt, können Angreifer durch das Auffüllen der Request-URI mit Pluszeichen die Escape-Funktion dazu bringen, jedes Byte in drei Bytes zu expandieren – was zum Overflow führt. Die Größe des Overflows lässt sich durch die Anzahl der escapbaren Zeichen komplett kontrollieren. Besonders tückisch: Null-Bytes können nicht für den Overflow verwendet werden, was RCE-Angriffe deutlich erschwert, aber nicht unmöglich macht.
Wissenschaftler von Depthfirst haben demonstriert, wie ein Exploit funktionieren könnte: Durch gezieltes “Heap Feng Shui” lässt sich ein benachbartes ngx_pool_t-Cleanup-Pointer korrumpieren, indem POST-Body-Daten genutzt werden. Dies leitet die Ausführung zu einer gefälschten ngx_pool_cleanup_s um, die beim Pool-Abbau Systembefehle ausführt.
Die schnelle Veröffentlichung des PoC-Codes verschärft die Situation erheblich. Während Administratoren normalerweise einige Tage haben, um Patches einzuspielen, wird die Bedrohung durch den öffentlich verfügbaren Exploit unmittelbar. Deutsche IT-Sicherheitsverantwortliche sollten sofort überprüfen, ob ihre NGINX-Installationen betroffen sind und verfügbare Patches einspielen: NGINX Plus-Nutzer sollten auf Version 37.0.0 oder die entsprechenden R36/R32-Patches aktualisieren, Open-Source-Nutzer auf 1.31.0 oder 1.30.1.
Das BSI empfiehlt allen betroffenen Organisationen sofortige Maßnahmen. Für Unternehmen, die personenbezogene Daten verarbeiten, ist die DSGVO-Meldepflicht relevant – ein erfolgreicher Exploit könnte zu erheblichen Bußgeldern führen.