Vulnerabilidade de 18 Anos no NGINX Explode: Ataques em Campo Já Começaram
Recentemente, a empresa de inteligência de ameaças VulnCheck revelou que uma vulnerabilidade crítica no NGINX (CVE-2026-42945) está sendo ativamente explorada por atacantes. Este exploit, um buffer overflow, reside no código do NGINX há impressionantes 18 anos, com uma pontuação CVSS 4.0 de 9.2, afetando todas as versões do NGINX de 0.6.27 a 1.30.0.
I. Visão Geral do Incidente
A vulnerabilidade CVE-2026-42945 está presente no módulo ngx_http_rewrite_module do NGINX Plus e do NGINX de código aberto. De acordo com a análise da empresa de segurança Depthfirst, o bug foi introduzido em 2008, permanecendo despercebido por quase duas décadas. A rede de honeypots da VulnCheck detectou tentativas de ataque reais explorando essa falha. Os atacantes estão construindo requisições HTTP maliciosas para acionar a vulnerabilidade e, após a detecção do alvo, implantar webshells. A velocidade com que a exploração foi implementada, desde a divulgação da vulnerabilidade até os ataques em campo, foi de apenas alguns dias.
II. Detalhes Técnicos da Vulnerabilidade
- Escopo de Impacto:
- NGINX Plus e NGINX Open Source versões 0.6.27 ~ 1.30.0.
- Condições de Ataque:
- Não requer autenticação, pode ser acionado remotamente.
- Exploração via requisições HTTP maliciosas.
- Requer configuração específica do NGINX para ser explorável.
- O atacante precisa conhecer ou detectar a configuração do alvo.
- Impacto Potencial:
- Falha do processo worker: Pode levar à negação de serviço (DoS).
- Execução remota de código (RCE): Pode executar código arbitrário em sistemas com ASLR desativado.
O pesquisador de segurança Kevin Beaumont observou que a ativação de RCE requer a combinação de uma configuração padrão do NGINX e o ASLR desativado no sistema. A equipe de manutenção do AlmaLinux também afirmou que transformar o heap overflow em execução de código confiável “não é fácil” na configuração padrão. No entanto, a equipe enfatizou que “não é fácil” não significa “impossível”. A exploração apenas no nível de DoS já representa uma ameaça urgente.
III. Perspectivas de Segurança
- “Dívida Técnica” da Infraestrutura é Maior do que se Imagina: Uma vulnerabilidade de 18 anos afeta milhões de instâncias do NGINX em todo o mundo. Mesmo os componentes de infraestrutura de código aberto mais rigorosamente revisados podem conter defeitos profundos e não descobertos por muito tempo. “Maduro e estável” não significa “sem problemas”.
- Janela de Exploração está Encolhendo Rapidamente: A transição da divulgação da vulnerabilidade para ataques em campo levou apenas alguns dias. Os atacantes estão reagindo a vulnerabilidades de alta gravidade tão rápido quanto os defensores – ou até mais rápido. A “janela de correção de ouro” após a liberação de um patch não é mais de semanas, mas de horas.
- Defesa em Profundidade não Pode Depender de um Único Mecanismo: ASLR certamente aumenta a barreira para a exploração de RCE, mas ataques DoS ainda são eficazes com o ASLR ativado. Considerar um recurso de segurança como a única linha de defesa é, em si, um risco. O design de segurança deve assumir que cada camada pode ser contornada.
- Atualizações de Versão Exigem Garantias Institucionais: Muitas organizações podem ter versões do NGINX que não foram atualizadas em anos. Estabelecer um sistema de rastreamento de versões e atualizações regulares de componentes de infraestrutura é muito mais eficaz do que responder urgentemente a uma vulnerabilidade com pontuação 9.2 que aparece em campo.
IV. Recomendações de Mitigação
- Atualização de Versão: Atualize para a versão mais recente do NGINX.
- Verificação de Configuração: Revise as configurações relacionadas ao
ngx_http_rewrite_module. - Ativar ASLR: Certifique-se de que a Randomização do Layout do Espaço de Endereços (ASLR) esteja habilitada no sistema.
- Implantar WAF: Configure regras para interceptar características de exploit conhecidas.
- Mitigação Temporária: Para sistemas que não podem ser atualizados imediatamente, considere desabilitar temporariamente as funções relacionadas ao módulo rewrite.
