Zusammenfassung der Schwachstelle

Die CVE-2025-23419 betrifft Szenarien, in denen mehrere server blocks von NGINX dieselbe IP und denselben Port teilen und die Umgebung eine Client-Zertifikatsauthentifizierung, auch bekannt als mTLS, verwendet.

In bestimmten Konfigurationen könnte ein Angreifer eine zuvor etablierte TLS-Sitzung wiederverwenden, um Anforderungen an die Client-Zertifikatsauthentifizierung in einem anderen Virtual-Host-Kontext zu umgehen.

Die Schwachstelle steht im Zusammenhang mit der Verwendung von TLS session resumption, insbesondere wenn ssl_session_cache oder ssl_session_tickets aktiviert sind.

In der Praxis hängt die Exposition von der Kombination aus anfälliger Version, Verwendung von TLS 1.3, TLS-Sitzungskonfiguration, mehreren virtuellen Hosts und der Anwendung von mTLS in bestimmten Teilen der Umgebung ab.

Betroffene Versionen

Laut öffentlichen Advisories betrifft das Problem:

Wenn die folgenden Bedingungen vorliegen:

Die Korrektur wurde in den Versionen veröffentlicht:

Daher sollte eine Version wie:

sollte als potenziell anfällig behandelt werden, sofern das Konfigurationsszenario ebenfalls mit dem Fehler kompatibel ist.

Wichtig: Die anfällige Version allein bestätigt keine Ausnutzung. Sie weist auf die Notwendigkeit einer Validierung der Konfiguration hin.

Verfügbares Skript

Was das Skript macht

Das Skript führt sichere Validierungen durch, um Anzeichen der Schwachstelle zu ermitteln:

• versucht, den Server-Header zu identifizieren;
• prüft, ob der Dienst wie NGINX aussieht;
• extrahiert die NGINX-Version, wenn sie exponiert ist;
• vergleicht die Version mit dem potenziell anfälligen Bereich;
• versucht abzuleiten, ob der Endpunkt mTLS erfordert;
• prüft auf Anzeichen von TLS session resumption;
• testet zufälligen SNI/Host, um möglichen vhost/default ohne mTLS auf derselben IP und Port zu identifizieren;
• gibt eine einfache Ausgabe zurück, die POSSIVEL oder NAO_INDICADO anzeigt.

Was das Skript nicht tut

Dieses Skript nutzt die Schwachstelle nicht aus.

Es versucht nicht:

• mTLS-Authentifizierung zu umgehen;
• auf geschützte Bereiche zuzugreifen;
• ein gültiges Client-Zertifikat zu verwenden;
• Sitzungen zwischen verschiedenen vhosts offensiv wiederzuverwenden;
• Verfügbarkeitsprobleme zu verursachen;
• Brute-Force durchzuführen;
• Daten in der Umgebung zu ändern.

Der Zweck ist lediglich, technische Anzeichen zu sammeln, um Triage und defensive Validierung zu unterstützen.

Ideales Szenario für die Verwendung

Verwenden Sie dieses Skript, wenn eines oder mehrere der folgenden Anzeichen vorliegen:

Beispiele geeigneter Ziele:

Verwendung des Skripts

Einfaches Beispiel

Beispiel mit detaillierter Ausgabe

Beispiel mit JSON-Ausgabe

Beispiel mit geändertem Timeout

Interpretation der Ergebnisse

Ergebnis POSSIVEL

Zeigt an, dass das Skript Anzeichen gefunden hat, die mit einer möglichen Exposition gegenüber CVE-2025-23419 vereinbar sind.

Dies bestätigt keine Ausnutzung. Es bedeutet, dass die Umgebung eine manuelle Analyse der NGINX-Konfiguration und Validierung mit dem verantwortlichen Team verdient.

Beispiel einer detaillierten Ausgabe:

Diese Daten helfen zu verstehen, warum der Endpunkt als mögliche Exposition eingestuft wurde.

Ergebnis NAO_INDICADO

Zeigt an, dass das Skript nicht genügend Anzeichen gefunden hat, um auf eine mögliche Exposition an diesem Endpunkt hinzuweisen.

Dies garantiert nicht das vollständige Fehlen der Schwachstelle, insbesondere wenn:

• der Server-Header ausgeblendet ist;
• die NGINX-Version nicht exponiert ist;
• sich mTLS auf einem anderen virtuellen Host befindet;
• der Load Balancer/CDN das eigentliche NGINX maskiert;
• die Validierung am falschen Endpunkt durchgeführt wird;
• die tatsächliche NGINX-Konfiguration nicht extern abgeleitet werden kann.

Anpassbare Felder im Skript

Die wichtigsten anpassbaren Punkte sind:

Diese Liste repräsentiert HTTP-Statuscodes, die auf einen Fehler aufgrund eines fehlenden oder ungültigen Client-Zertifikats hinweisen können.

Es ist auch möglich, das timeout über die Befehlszeile anzupassen:

Anforderungen

Abhängigkeiten

Das Skript verwendet nur Standard-Python-Bibliotheken.

Hauptabhängigkeiten:

Es ist nicht erforderlich, externe Bibliotheken über pip zu installieren.

Empfehlungen zur Minderung

Aktualisieren Sie NGINX auf eine behobene Version, vorzugsweise 1.26.3, 1.27.4 oder höher, je nach verwendetem Kanal.

Überprüfen Sie die Konfiguration von server blocks, die dieselbe IP und denselben Port teilen, insbesondere wenn mTLS nur bei einem Teil der virtuellen Hosts vorhanden ist.

Bewerten Sie die Verwendung von:

Es wird auch empfohlen, Kontexte zu isolieren, die ein Client-Zertifikat erfordern, und zu validieren, ob die mTLS-Authentifizierung auf dem richtigen virtuellen Host angewendet wird.

Überprüfen Sie außerdem Konfigurationen in Proxys, Gateways, Load Balancern, Ingress-Controllern und CDNs, da die TLS-beendende Komponente möglicherweise nicht dieselbe ist, die für die endgültige Anwendung antwortet.

Referenzen

Rechtlicher Hinweis

Dieses Skript sollte nur in autorisierten Umgebungen verwendet werden.

Der Zweck ist die Unterstützung von Triage, sicherer Validierung, autorisiertem Pentest, defensiver Analyse und Bestätigung von Konfigurationsexposition.

Die Verwendung gegen Systeme ohne Autorisierung ist untersagt.