CVE-2026-42945 — مختبر دفاعي لـ Wazuh SCA مع NGINX

نظرة عامة

يوثّق هذا المستودع مختبرًا دفاعيًا لـ CVE-2026-42945، الذي يؤثّر على NGINX ngx_http_rewrite_module.

كان هدف هذا المشروع هو معالجة الثغرة من منظور الفريق الأزرق باستخدام تقييم الإعدادات الأمنية (SCA) من Wazuh لتقييم تعرّض NGINX بشكل مركزي.

يتحقق المختبر من شرطين للتعرّض:

1. إصدار حزمة NGINX غير مُحدَّث على Ubuntu
2. نمط إعداد rewrite خطير في NGINX مرتبط بـ CVE-2026-42945

النتيجة النهائية هي سياسة SCA مركزية من Wazuh يمكن نشرها على خوادم NGINX المراقَبة عبر إعداد الوكيل المركزي في Wazuh.

بنية المختبر

تم بناء المختبر باستخدام بنية شبكية مجزّأة.

Internet / WAN
     |
     |
  pfSense Firewall
     |
     |-----------------------------
     |                             |
    LAN                           DMZ
     |                             |
Wazuh Manager                Ubuntu NGINX Server
Wazuh Dashboard              Wazuh Agent
                             NGINX

المكونات

الهدف

كان الهدف هو بناء سير عمل دفاعي آمن وقابل للتكرار:

Wazuh Manager
     |
     | Centralized SCA policy
     v
Wazuh Agent on DMZ NGINX Server
     |
     | Checks package version and NGINX configuration
     v
Wazuh Dashboard
     |
     | Shows passed / failed checks
     v
Remediation validation

يتيح هذا الأسلوب تقييم التعرّض للثغرة دون تشغيل أي كود استغلال.

استراتيجية الكشف

تنفّذ سياسة SCA المخصصة من Wazuh فحصين.

الفحص 1 — إصدار حزمة NGINX

تتحقق السياسة مما إذا كانت حزمة NGINX المثبّتة على Ubuntu تطابق الإصدار غير المُصحَّح الذي لوحظ في المختبر.

إصدار الحزمة الضعيف الأولي:

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

إصدار الحزمة المُصحَّح بعد المعالجة:

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

ملف السياسة:

sca-policy/nginx-cve-2026-42945.yml

الفحص 2 — إعداد rewrite الخطير في NGINX

تتحقق السياسة أيضًا من نمط rewrite خطير مرتبط بـ CVE-2026-42945.

يتم تخزين إعداد الاختبار الخطير هنا:

nginx-config/vulnerable-example.conf

يتم تخزين الإعداد المُعالَج هنا:

nginx-config/remediated-example.conf

تشمل الحالة الخطيرة التي تم اختبارها في المختبر ما يلي:

rewrite directive
unnamed capture such as $1
replacement containing ?
follow-up directive such as set

بنية المستودع

wazuh-nginx-cve-2026-42945-sca-lab/
├── README.md
├── sca-policy/
│   └── nginx-cve-2026-42945.yml
├── wazuh-config/
│   └── agent.conf
├── nginx-config/
│   ├── vulnerable-example.conf
│   └── remediated-example.conf
├── commands/
│   ├── 01-agent-validation.md
│   ├── 02-nginx-version-check.md
│   ├── 03-sca-policy-deployment.md
│   └── 04-remediation.md
├── screenshots/
│   ├── 01-lab-architecture.png
│   ├── 02-agent-active.png
│   ├── 03-sca-policy-failed.png
│   ├── 04-nginx-package-before.png
│   ├── 05-risky-rewrite-config.png
│   ├── 06-sca-partial-remediation.png
│   ├── 07-nginx-package-after.png
│   └── 08-sca-policy-passed.png
└── docs/
    └── lab-notes.md

كيف تم بناء المختبر

الخطوة 1 — تقسيم الشبكة

استخدم المختبر pfSense لفصل البيئة إلى:

LAN:
- Wazuh Manager
- Wazuh Dashboard

DMZ:
- Ubuntu NGINX server
- Wazuh Agent

تم وضع خادم NGINX على Ubuntu في المنطقة المجرّدة (DMZ).
وتم وضع مدير Wazuh في الشبكة المحلية (LAN).

تم السماح فقط بالاتصال الضروري مع Wazuh من خادم DMZ إلى مدير Wazuh.

الخطوة 2 — نشر وكيل Wazuh

تم تسجيل خادم DMZ بنظام Ubuntu كوكيل Wazuh.

تم التحقق من الوكيل من خلال مدير Wazuh وتأكيد كونه نشطًا.

أوامر التحقق موثّقة في:

commands/01-agent-validation.md

الحالة المتوقعة:

Agent: ubuntu-dmz-nginx2
Status: Active

الخطوة 3 — تقييم إصدار NGINX

تم فحص إصدار حزمة NGINX المثبّتة على خادم DMZ بنظام Ubuntu.

أوامر فحص الإصدار موثّقة في:

commands/02-nginx-version-check.md

الحالة الأولية:

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

بعد تحديث فهرس الحزم، أصبح الإصدار المرشّح المُصحَّح متاحًا:

1.28.3-2ubuntu1.1

الخطوة 4 — إعداد NGINX الخطير

تم إنشاء إعداد اختبار لـ NGINX لمحاكاة نمط rewrite الخطير.

يُخزَّن المثال الضعيف في:

nginx-config/vulnerable-example.conf

تُخزَّن النسخة المُعالَجة في:

nginx-config/remediated-example.conf

لم يكن الغرض استغلال الخدمة، بل التحقق مما إذا كان Wazuh SCA قادرًا على تحديد التعرّض الخطير في الإعدادات المحلية.

الخطوة 5 — سياسة SCA مخصصة من Wazuh

تم إنشاء سياسة SCA مخصصة على مدير Wazuh.

ملف السياسة:

sca-policy/nginx-cve-2026-42945.yml

في المختبر، تم نشر هذه السياسة من الدليل المشترك لمدير Wazuh:

/var/ossec/etc/shared/default/nginx-cve-2026-42945.yml

تحتوي السياسة على فحصين:

الخطوة 6 — إعداد الوكيل المركزي

تم نشر سياسة SCA المخصصة باستخدام إعداد الوكيل المركزي في Wazuh.

يتم تخزين ملف الإعداد المركزي في هذا المستودع باسم:

wazuh-config/agent.conf

في المختبر، تم نشره تحت:

/var/ossec/etc/shared/default/agent.conf

كان مدير Wazuh يعمل داخل Docker:

single-node-wazuh.manager-1

أوامر النشر موثّقة في:

commands/03-sca-policy-deployment.md

الخطوة 7 — التحقق من السياسة على الوكيل

بعد إعادة تشغيل وكيل Wazuh، استلم خادم DMZ بنظام Ubuntu سياسة SCA المخصصة.

ظهرت السياسة المستلَمة تحت:

/var/ossec/etc/shared/nginx-cve-2026-42945.yml

أكّدت سجلات وكيل Wazuh أنه تم تحميل السياسة وتقييمها.

مؤشرات السجل المتوقعة:

Loaded policy
Starting evaluation of policy
Evaluation finished for policy

النتيجة الأولية

مع توافر شرطي التعرّض معًا، أظهرت لوحة تحكم Wazuh:

Passed: 0
Failed: 2
Score: 0%

وهذا يعني أن كلا الفحصين فشلا:

لقطة شاشة:

screenshots/03-sca-policy-failed.png

المعالجة

خطوة المعالجة 1 — إصلاح إعداد rewrite الخطير

تم استبدال إعداد rewrite الخطير في NGINX بإعداد أكثر أمانًا.

الملف المرجعي:

nginx-config/remediated-example.conf

بعد إصلاح الإعداد وإعادة تشغيل فحص Wazuh SCA، كانت النتيجة المتوقعة:

Passed: 1
Failed: 1
Score: 50%

في هذه المرحلة:

لقطة شاشة:

screenshots/06-sca-partial-remediation.png

خطوة المعالجة 2 — ترقية حزم NGINX

تمت ترقية حزم NGINX باستخدام ترقية موجهة للحزم.

أوامر المعالجة موثّقة في:

commands/04-remediation.md

قبل الترقية:

Installed: 1.28.3-2ubuntu1
Candidate: 1.28.3-2ubuntu1.1

بعد الترقية:

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

لقطة شاشة:

screenshots/07-nginx-package-after.png

النتيجة النهائية

بعد اكتمال خطوتَي المعالجة، تغيّرت نتيجة Wazuh SCA إلى:

Passed: 2
Failed: 0
Score: 100%

وأكّد ذلك ما يلي:

1. تم إصلاح إعداد rewrite الخطير
2. تمت ترقية حزم NGINX إلى الإصدار المُصحَّح

لقطة شاشة:

screenshots/08-sca-policy-passed.png

ملخص النتائج

لقطات الشاشة

لقطات الشاشة الموصى بها:

اعتبارات الإنتاج

بالنسبة للمختبر، تم نشر السياسة عبر مجموعة default في Wazuh.

في بيئة الإنتاج، يُفضَّل إنشاء مجموعة وكيل مخصصة في Wazuh، على سبيل المثال:

nginx-servers

يجب إسناد الخوادم التي تشغّل NGINX فقط إلى تلك المجموعة.

النشر الموصى به بأسلوب الإنتاج:

Wazuh Manager
     |
     | Centralized SCA policy
     v
nginx-servers agent group
     |
     | Applied only to NGINX systems
     v
Wazuh Dashboard

يمنع ذلك تطبيق فحوصات خاصة بـ NGINX على أنظمة غير ذات صلة.

لماذا لم يُستخدم كود استغلال

يتجنّب هذا المشروع عمدًا كود الاستغلال.

كان الغرض من المختبر هو إظهار الهندسة الأمنية الدفاعية، وليس الاستغلال.

استند التقييم إلى:

package version exposure
configuration exposure
centralized Wazuh SCA validation
remediation verification

الدروس المستفادة

• يمكن استخدام Wazuh SCA لتقييم التعرّض للثغرات (CVE) بشكل مركزي.
• لا يتطلب التحقق من الثغرات (CVE) دائمًا تنفيذ كود استغلال.
• تقسيم DMZ عبر pfSense يجعل المختبر أكثر واقعية.
• يمكن لسياسات SCA المخصصة فحص إصدارات الحزم والإعدادات الخطيرة معًا.
• يجب التحقق من المعالجة بنتائج قابلة للقياس قبل التطبيق وبعده.
• يجب استخدام مجموعة وكيل مخصصة في Wazuh للنشر في بيئة الإنتاج.

إخلاء مسؤولية

هذا المستودع مخصص للأغراض التعليمية والأمنية الدفاعية فقط.

لا يتضمن أي كود استغلال.

صُممت الفحوصات لبيئة مختبر خاضعة للتحكم، ويجب مراجعتها قبل استخدامها في بيئة الإنتاج.