NGINX Rift Detektor für CVE-2026-42945

Schreibgeschützter Bash-Checker für selbst betriebene NGINX-Server. Er hilft einem Betreiber, nach der Offenlegung von CVE-2026-42945 zwei Fragen zu beantworten:

• Läuft auf diesem Server weiterhin eine exponierte NGINX-Build- oder riskante Rewrite-Konfiguration?
• Zeigen lokale Protokolle Crash-, Long-URI- oder Kodierungssignale, die vor dem Schließen des Tickets überprüft werden müssen?

Hier starten

Ping7-Ressourcen

• Alle GitHub-Tools: https://ping7.cc/github-tools/
• Vollständige Selbstcheck-Anleitung: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check/
• CVE-Reparaturservice: https://ping7.cc/cve-repair/
• Beispiel-Reparaturbericht: https://ping7.cc/cve-repair/sample-report/
• Live-CVE-Warnungen: https://t.me/ping7cve

Issue oder Reparatur

Öffnen Sie ein GitHub-Issue, wenn der Detektor abstürzt, ein falsch positives Ergebnis meldet, ein sicheres Abwehrsignal übersieht oder eine Bereinigung der Dokumentation benötigt. Halten Sie das Beispiel frei von sensiblen Daten.

Nutzen Sie die Ping7-Reparatur, wenn das Ergebnis VULNERABLE oder SUSPICIOUS ist oder wenn die Belege Live-Domains, Kunden-Traffic, private Protokolle, Absturzzeitstempel oder Konfigurationszeilen enthalten, die nicht öffentlich gepostet werden sollten.

Aufzubewahrende Nachweise

• Detektorausgabe und Version.
• NGINX-Version und Paketquelle.
• Relevante Rewrite-Konfigurationszeilen, bei Bedarf bereinigt.
• Erster verdächtiger Zeitstempel aus Access- oder Error-Logs.
• Ob Protokolle rotiert, gelöscht oder außerhalb des Hosts gespeichert wurden.

Wann Sie dieses Repo verwenden sollten

• Sie betreiben NGINX direkt, über einen Reverse-Proxy oder hinter einem Hosting-Control-Panel.
• Der Server verwendet eine rewrite-lastige Konfiguration und das Patch-Fenster wurde nicht klar dokumentiert.
• Sie benötigen ein Terminalergebnis, das in ein Incident-Ticket eingefügt werden kann.
• Sie wünschen einen ersten Durchlauf, bevor Sie für Bereinigung oder Kompromittierungsprüfung bezahlen.

Schnellstart

Zuerst inspizieren:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/nginx-rift-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

Führen Sie entfernten Shell-Inhalt nicht direkt als Root aus. Laden Sie das Skript herunter, prüfen Sie es und führen Sie es dann auf dem Server aus, für den Sie verantwortlich sind.

Was es prüft

Wann Sie es ausführen sollten

Führen Sie dies auf NGINX-Servern aus, die:

• Rewrite-lastige Konfigurationen verwenden.
• Nach der CVE-Offenlegung nicht schnell gepatcht wurden.
• Öffentlichen Reverse-Proxy-, CDN-Origin-, API- oder WordPress-Verkehr exponieren.
• Unerklärliche Worker-Abstürze oder ungewöhnlich lange Anforderungspfade aufweisen.

Ausgabe

Das Skript meldet einen der folgenden Status:

• CLEAN: keine offensichtlichen Hinweise auf Exposition oder Ausnutzung gefunden.
• VULNERABLE: Versions-/Konfigurationssignale weisen auf Exposition hin.
• SUSPICIOUS: Protokoll- oder Laufzeitindikatoren erfordern manuelle Überprüfung.

Beispielausgabe

NGINX Rift CVE-2026-42945 Detector

Checks:
- NGINX version
- rewrite configuration
- access and error logs
- Linux ASLR
- worker user

Result: SUSPICIOUS (0 critical, 2 warnings)
Next: review rewrite rules and error-log crash entries before closing the ticket.
Guide: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check

Exit-Status

Diese Version ist für die interaktive Triage konzipiert. Sie gibt CLEAN, VULNERABLE oder SUSPICIOUS im Terminal aus und endet normalerweise mit 0, es sei denn, die Shell-Laufzeit selbst schlägt fehl. Wenn Sie CI-ähnliche Exit-Codes benötigen, binden Sie den Ausgabestatus in Ihre eigene Bereitstellungspipeline ein.

Einschränkungen

• Es kann nicht beweisen, ob eine Ausnutzung stattgefunden hat oder nicht.
• Es prüft nur lokale Dateien und Protokolle, die dem aktuellen Benutzer zur Verfügung stehen.
• Rotierte, gelöschte oder außerhalb des Hosts gespeicherte Protokolle können das relevante Zeitfenster verbergen.
• Vendor-Backports können dazu führen, dass eine Paketversion älter aussieht als der tatsächlich gepatchte Build.

Behebungspfad

1. Aktualisieren Sie NGINX auf einen korrigierten Build Ihres Anbieters.
2. Ersetzen Sie unsichere Rewrite-Capture-Muster durch sicherere benannte Captures.
3. Halten Sie ASLR aktiviert.
4. Überprüfen Sie Access- und Error-Logs aus dem Zeitfenster der Exposition.
5. Starten Sie NGINX neu und bestätigen Sie, dass der Detektor sauber meldet.

Übergabe zur Reparatur

Wenn das Ergebnis VULNERABLE oder SUSPICIOUS ist, bewahren Sie die Ausgabe auf und senden Sie:

Domain or server:
NGINX version:
CVE: CVE-2026-42945
Detector result: CLEAN / VULNERABLE / SUSPICIOUS
First suspicious timestamp:
Symptoms: worker crash, long URI logs, redirect, config change, or scanner result
Logs still available: yes / no

Senden Sie keine Passwörter in der ersten Nachricht. Senden Sie Symptome, Zeitstempel, Screenshots und bereinigte Protokollausschnitte.

Sie benötigen praktische Hilfe: https://ping7.cc/cve-repair

Mitwirken

Öffnen Sie ein Issue, wenn Sie ein neues Abwehrsignal, ein falsch positives Ergebnis oder eine falsch gemeldete Distro-Version haben. Geben Sie die NGINX-Version, die OS-Familie, die bereinigte Konfigurationszeile und das Detektorergebnis an. Veröffentlichen Sie keine Live-Kundenprotokolle, Geheimnisse oder Angriffsstrings.

Defensiver Umfang

Dieses Projekt ist ausschließlich defensiv. Führen Sie es nur auf Systemen aus, die Ihnen gehören oder für die Sie zur Prüfung autorisiert sind.

Keine Payloads. Kein breites Scannen. Keine Ausnutzungsschritte.

Lizenz

MIT