概述

近期上游披露 NGINX ngx_http_rewrite_module 存在安全漏洞（CVE-2026-42945）。本文面向 CCE 用户说明该漏洞的影响范围、排查方法与处置建议。

在特定配置条件下，该漏洞可被远程触发并导致 NGINX 工作进程崩溃（DoS）；在防护条件不足的环境中，风险可能进一步放大。请相关用户尽快完成排查与修复。

漏洞描述

该漏洞与 rewrite 指令处理逻辑有关。仅当易受攻击模式中使用未命名 PCRE 捕获（如 $1、$2）时，该漏洞才具备可利用条件。攻击者可通过构造请求触发堆缓冲区溢出，导致进程异常重启。

根据上游披露信息，在默认安全配置场景下主要风险为拒绝服务；在特定环境下存在进一步被利用的可能。

影响范围

• 该漏洞影响使用 NGINX rewrite 相关能力的场景。
• CCE Ingress NGINX 组件所有版本均受影响。
• 是否可被实际利用，取决于是否使用未命名 PCRE 捕获（$1、$2）的易受攻击 rewrite 写法。

风险等级

• 漏洞等级：高危（建议按紧急漏洞流程处置）
• 参考评分：CVSS v3 8.1 / CVSS v4 9.2（以官方披露为准）

排查建议

1. 配置排查：重点检查 rewrite 规则中是否存在未命名捕获组（$1/$2）与 ? 替换串组合，并与 rewrite/if/set 连续使用的场景。

修复建议

将所有受影响重写指令中的未命名捕获（$1、$2）替换为命名捕获。

参考改造示例如下：

易受攻击模式：

1rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

缓解模式：

1rewrite ^/users/(?<user_id>[0-9]+)/profile/(?<section>.*)$ /profile.php?id=$user_id&tab=$section last;

完成改造后，建议通过流量回放或压测验证入口服务稳定性，重点关注 4xx/5xx 与 worker 异常重启情况。

参考链接

• NGINX 官方安全公告页（含 CVE-2026-42945 条目）：http://nginx.org/en/security_advisories.html
• CVE 官方记录（CVE-2026-42945）：https://www.cve.org/CVERecord?id=CVE-2026-42945
• F5 安全通告（CVE-2026-42945）：https://my.f5.com/manage/s/article/K000161019
• CCE Ingress NGINX Controller 说明：https://intl.cloud.baidu.com/zh/doc/CCE/s/ylarud6g6-intl