【误差通告】NGINX map 指令正则匹配误差(CVE-2026-42533)
宣布时间 2026-07-22一、误差概述
NGINX是一款高性能开源Web服务器、反向代理服务器及负载平衡平台，普遍应用于互联网服务、API网关、静态资源分发和微服务架构中 。NGINX Plus是其商业版本，提供增强的负载平衡、监控管理和企业级支持能力 。NGINX支持富厚的设置指令，可通过map等�？槭迪智肭笃ヅ洹⒈淞孔患傲髁靠刂频裙π� 。
2026年7月22日，尊龙凯官网入口清静应急响应中心（VSRC）监测到NGINX map指令正则匹配误差 。该误差源于map指令启用正则匹配时，对正则捕获变量和map输出变量的引用顺序处置惩罚不当，或在特定条件下使用不可缓存变量加入字符串表达式盘算，可能导致NGINX worker历程爆发堆缓冲区溢出 。攻击者无需身份认证即可通过发送特制HTTP请求触发误差，在受影响情形中造成NGINX服务异常重启，导致拒绝服务（DoS） 。在目的系统未启用ASLR（地址空间结构随机化）或攻击者能够绕过ASLR防护时，进一步可能实现远程代码执行，影响系统可用性和清静性 。
二、影响规模
NGINX Plus 37.x：
37.0.0.1 ≤ NGINX Plus < 37.0.3.1
NGINX Plus Rx：
R33 ≤ NGINX Plus < R36 P7
NGINX Open Source 1.x：
1.31.0 ≤ NGINX Open Source < 1.31.3
1.30.0 ≤ NGINX Open Source < 1.30.4
NGINX Instance Manager 2.x：
2.17.0 ≤ NGINX Instance Manager < 2.22.2
F5 WAF for NGINX 5.x：
5.9.0 ≤ F5 WAF for NGINX < 5.13.4
NGINX App Protect WAF 5.x：
5.2.0 ≤ NGINX App Protect WAF ≤ 5.8.0
NGINX App Protect WAF 4.x：
4.11.0 ≤ NGINX App Protect WAF ≤ 4.16.0
NGINX Gateway Fabric 2.x：
2.0.0 ≤ NGINX Gateway Fabric < 2.6.7
NGINX Gateway Fabric 1.x：
1.3.0 ≤ NGINX Gateway Fabric ≤ 1.6.2
NGINX Ingress Controller 5.x：
2026-lts-r1 ≤ NGINX Ingress Controller ≤ 2026-lts-r3
5.0.0 ≤ NGINX Ingress Controller ≤ 5.5.2
NGINX Ingress Controller 4.x：
4.0.0 ≤ NGINX Ingress Controller ≤ 4.0.1
NGINX Ingress Controller 3.x：
3.5.0 ≤ NGINX Ingress Controller ≤ 3.7.2
三、清静步伐
3.1 升级版本
官方已宣布修复补丁，以修复该误差 。
NGINX Plus >= 37.0.3.1
NGINX Plus >= R36 P7
NGINX Open Source >= 1.31.3
NGINX Open Source >= 1.30.4
NGINX Instance Manager >= 2.22.2
F5 WAF for NGINX >= 5.13.4
NGINX Gateway Fabric >= 2.6.7
NGINX Ingress Controller >= 2026-lts-r4
NGINX Ingress Controller >= 5.5.3
关于官方标记 Fixes introduced in: None 的产品版本（如 NGINX App Protect WAF、部分 NGINX Gateway Fabric、NGINX Ingress Controller 分支），建议升级至官方支持且已修复误差的替换版本，或凭证 F5 官方后续清静通告举行版本更新 。
下载链接：
https://my.f5.com/manage/s/article/K000162097/
3.2 暂时步伐
使用唯一命名正则捕获变量替换匿名捕获组，阻止跨map、location等设置块重复使用捕获变量，并检查正则匹配变量引用顺序 。
排查map指令中的正则匹配规则，阻止在字符串表达式中引用不可缓存变量 。
确保服务器启用ASLR、NX等内存�；せ�，并使用最小权限运行NGINX worker历程 。
安排WAF检测异常HTTP请求，限制敏感服务会见泉源，并增强异常流量监控 。
3.3 通用建议
按期更新系统补丁，镌汰系统误差，提升服务器的清静性 。
增强系统和网络的会见控制，修改防火墙战略，关闭非须要的应用端口或服务，镌汰将危险服务（如SSH、RDP等）袒露到公网，镌汰攻击面 。
使用企业级清静产品，提升企业的网络清静性能 。
增强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应坚持在最低限度 。
启用强密码战略并设置为按期修改 。
3.4 参考链接
https://my.f5.com/manage/s/article/K000162097/
https://nvd.nist.gov/vuln/detail/CVE-2026-42533
京公网安备11010802024551号