Publicado en

Vulnerabilidad Crítica en NGINX: Riesgo de Ejecución Remota de Código y Denegación de Servicio

•Publicado enVulnerabilidades

Descubierta una falla crítica que afecta a millones de servidores NGINX a nivel global

F5 ha lanzado parches de seguridad urgentes para corregir una vulnerabilidad crítica en NGINX, identificada como CVE-2026-42533. Esta falla, que reside en el motor de scripts del servidor, podría permitir a un atacante remoto no autenticado provocar un desbordamiento de búfer (heap buffer overflow) mediante solicitudes HTTP especialmente diseñadas.

¿En qué consiste el riesgo técnico?

El problema técnico se origina en la forma en que NGINX procesa las directivas map basadas en expresiones regulares (regex). El motor de scripts de NGINX utiliza un proceso de dos pasos: primero mide el espacio necesario para una variable y luego escribe los datos. Debido a esta vulnerabilidad, un atacante puede manipular las capturas de las expresiones regulares para que la escritura supere el tamaño del búfer reservado originalmente.

Las consecuencias son graves:

  • Denegación de Servicio (DoS): El atacante puede forzar el cierre o reinicio de los procesos worker de NGINX, dejando el sitio web o la aplicación fuera de servicio.
  • Ejecución Remota de Código (RCE): En configuraciones específicas donde las protecciones de memoria como ASLR están deshabilitadas o pueden ser evadidas, el atacante podría ejecutar comandos arbitrarios en el servidor.

Alcance y Versiones Afectadas

La vulnerabilidad es inusualmente longeva, afectando a versiones de NGINX desde la 0.9.6 hasta la 1.31.2, un rango que se remonta al año 2011. Entre los productos afectados se incluyen:

  • NGINX Open Source (Stable y Mainline)
  • NGINX Plus
  • NGINX Ingress Controller
  • Gateway Fabric y App Protect WAF

Recomendaciones para las empresas

Desde el equipo de ciberseguridad de Intedya, instamos a los administradores de sistemas y responsables de infraestructura a tomar las siguientes medidas inmediatas:

  1. Actualización Urgente: Actualizar a las versiones 1.30.4 (stable) o 1.31.3 (mainline) de NGINX, o a la versión 37.0.3.1 de NGINX Plus.
  2. Mitigación Temporal: Si la actualización inmediata no es posible, F5 recomienda cambiar las capturas numeradas en los mapas de regex por capturas con nombre, aunque esta medida no cubre todos los vectores de ataque posibles.
  3. Escaneo de Configuración: Utilizar herramientas de escaneo para identificar si sus archivos de configuración contienen los patrones de riesgo específicos mencionados en el aviso de seguridad.

La seguridad de la infraestructura web es un pilar fundamental para la continuidad del negocio. Mantener el software actualizado frente a vulnerabilidades de alto impacto como el CVE-2026-42533 no es opcional, sino una necesidad crítica de cumplimiento y protección.

Fuentes