CVE-2026-42530 — Safe-Check Scanner

ماسح جماعي غير تدميري لثغرة use-after-free في NGINX HTTP/3 (QUIC)
اعرف أيًّا من مضيفاتك مكشوف للثغرة — دون تشغيلها إطلاقًا.

⚠️ إخلاء مسؤولية

هذه الأداة مخصّصة لاختبارات الأمان المصرَّح بها فقط — أي بنيتك التحتية الخاصة، أو أنظمة لديك إذن كتابي صريح لاختبارها. وهي تنفّذ بصمة قراءة فقط (read-only) ولا تستغل الثغرة. أنت مسؤول عن الالتزام بالنطاق المحدّد والامتثال للقوانين المعمول بها ومبادئ الإفصاح المسؤول. لا يتحمّل المؤلفون أي مسؤولية عن إساءة الاستخدام.

🔍 حول الثغرة

CVE-2026-42530 هي ثغرة use-after-free (CWE-416) في وحدة ngx_http_v3_module الخاصة بـ NGINX. عندما يكون NGINX مُعدًّا لتقديم HTTP/3، يمكن لمهاجم بعيد غير مصادَق أن يعيد فتح تدفّق مُرمِّز QPACK ضمن جلسة HTTP/3 مُصنَّعة، مما يجعل عملية worker تشير إلى ذاكرة مُحرَّرة. التأثير المباشر هو تعطُّل/إعادة تشغيل عملية worker (حجب الخدمة)؛ أما على المضيفات التي يكون فيها ASLR معطَّلاً أو يمكن تجاوزه، فقد يتصاعد الأمر إلى تنفيذ كود عن بُعد.

نقطة أساسية: لا يمكن الوصول إلى الثغرة إلا عندما يكون HTTP/3 (QUIC) مفعَّلاً — وهي ليست مفعّلة افتراضيًا. المضيفات التي تخدم HTTP/1.1 أو HTTP/2 فقط عبر TCP غير متأثرة بهذا المتجه تحديدًا.

الإصدارات المتأثرة والمُصحَّحة

✨ ماذا يفعل هذا الماسح

يفتح اتصال HTTP/3 حقيقيًا، ويرسل طلب HEAD / واحدًا، ويقرأ ترويسة Server من الاستجابة. ومن ذلك يصنّف كل هدف — والأهم أنه يتعامل مع المضيفات التي يمكن الوصول إليها لكنها تُخفي الإصدار على أنها تحتاج إلى مراجعة يدوية بدلاً من اعتبارها "نظيفة" بشكل خاطئ، إذ إن قابلية الوصول إلى QUIC هي الشرط المسبق للثغرة.

• 🛡️ آمن بالتصميم — مجرد استطلاع حميد؛ لا يعيد فتح تدفّق QPACK أبدًا، ولا يرسل جلسة مُصنَّعة/خبيثة أبدًا.
• 📋 مسح جماعي — مرّر له قائمة أهداف من ملف أو من stdin.
• ⚡ تزامني — محرك غير متزامن (asyncio) يعالج مئات مصافحات QUIC قيد التنفيذ بحد أقصى واحد قابل للضبط.
• 🎯 تصنيف عملي — ست حالات واضحة بدلاً من نتيجة true/false مجرّدة.
• 📦 مخرجات جاهزة للتقرير — ملخص ملوَّن على الطرفية (console) بالإضافة إلى CSV / JSON لتوثيق الاختبار.
• 🚦 متوافق مع CI — يخرج برمز خروج غير صفري عندما يكون أي مضيف متأثرًا.

معاني الحالات

📦 التثبيت

يتطلب Python 3.11+ (يستخدم asyncio.timeout).

git clone https://github.com/renzi25031469/CVE-2026-42530-scanner.git
cd CVE-2026-42530-scanner
pip install aioquic

نصيحة: استخدم بيئة افتراضية — python3 -m venv .venv && source .venv/bin/activate.

🚀 الاستخدام

# Single host
python3 cve-2026-42530-scanner.py example.com

# Many hosts from a file, 100 in parallel, save a CSV
python3 cve-2026-42530-scanner.py -f targets.txt -c 100 --csv results.csv

# Pipe targets from stdin and export JSON
cat hosts.txt | python3 cve-2026-42530-scanner.py -f - --json results.json

# Custom port and timeout
python3 cve-2026-42530-scanner.py target.internal -p 8443 -t 5

تنسيق ملف الأهداف

مضيف واحد في كل سطر. يتم التعامل تلقائيًا مع المنافذ والبروتوكولات والمسارات والتعليقات:

# production edge
edge01.example.com
edge02.example.com:8443
https://api.example.com/

# staging
10.0.5.21

الخيارات

نموذج من المخرجات

[*] CVE-2026-42530 safe-check — 4 target(s), concurrency=100, timeout=10s

======================================================================
CVE-2026-42530 SAFE-CHECK RESULTS
======================================================================
[VULNERABLE              ] edge01.example.com:443  (Server: nginx/1.31.1)
      -> Vulnerable NGINX version over HTTP/3. Upgrade to nginx/1.31.2 or later.
[HTTP3_VERSION_HIDDEN    ] api.example.com:443
      -> HTTP/3 reachable but Server header is masked. Verify the NGINX version manually.
[LIKELY_PATCHED          ] edge02.example.com:8443  (Server: nginx/1.31.2)
[NO_HTTP3                ] 10.0.5.21:443
----------------------------------------------------------------------
Summary: VULNERABLE=1 | HTTP3_VERSION_HIDDEN=1 | LIKELY_PATCHED=1 | NO_HTTP3=1

[!] 1 host(s) appear VULNERABLE. Mitigation: upgrade to nginx/1.31.2 or later,
    or remove 'quic' from all 'listen' directives.
======================================================================

🩹 المعالجة

1. التحديث (Patch) — رقِّ NGINX Open Source إلى 1.31.2+ (أو طبّق نشرة F5 الأمنية لإصدار NGINX Plus).
2. تخفيف مؤقت — إذا تعذّر عليك التحديث فورًا، فعطّل HTTP/3 بإزالة معامل quic من كل توجيه listen وحذف http3 on;، ثم أعد تحميل NGINX. هذا يزيل مسار الكود المتأثر بالكامل.
3. دفاع متعمق — أبقِ ASLR مفعّلاً (/proc/sys/kernel/randomize_va_space = 2). تعامل مع هذا كطبقة تحصين، وليس بديلاً عن التحديث.

⚙️ ملاحظة حول التزامن

aioquic غير متزامن، لذلك يستخدم هذا الماسح asyncio.Semaphore بدلاً من خيوط نظام التشغيل. بالنسبة للأعمال المرتبطة بإدخال/إخراج الشبكة — مئات مصافحات QUIC المنتظرة على الشبكة — يمكن لحلقة أحداث واحدة التوسّع أكثر بكثير وبعبء إضافي أقل بكثير من تجمع الخيوط، مع توفير سلوك "مسح مضيفات متعددة دفعة واحدة" نفسه. اضبط الحد الأقصى عبر -c.

🙏 الشكر والتقدير

• مؤلف الأداة الأصلية Safe-Check: Ashraf Zaryouh — @0xBlackash · المستودع الأصلي
• الاقتباس والتوسيع بواسطة: Renzi — إدخال متعدد الأهداف من ملف/stdin، تزامن غير متزامن محدود للمسح الجماعي، تصحيح معالجة أحداث HTTP/3، تصنيف منظم للنتائج، وتقارير CSV/JSON.

شكرًا للباحثين المذكورين في الإفصاح الأصلي على تنسيقهم للإبلاغ عن الثغرة.

📄 الترخيص

مُنشورة بموجب رخصة MIT. انظر LICENSE.

_{صُممت للمدافعين وفرق الاختراق المصرَّح بها (Red Teams). امسح بمسؤولية. 🔐}