CVE-2026-42530 — Safe-Check Scanner

Nicht-destruktiver Massen-Scanner für den NGINX HTTP/3 (QUIC) Use-after-Free
Ermitteln Sie, welche Ihrer Hosts exponiert sind – ohne den Fehler jemals auszulösen.

⚠️ Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Sicherheitstests bestimmt – für Ihre eigene Infrastruktur oder Systeme, für die Sie eine ausdrückliche schriftliche Genehmigung zur Prüfung haben. Es führt einen schreibgeschützten Fingerprint durch und exploitiert die Schwachstelle nicht. Sie sind dafür verantwortlich, im Rahmen der Genehmigung zu bleiben und geltendes Recht sowie die Grundsätze der verantwortungsvollen Offenlegung (Responsible Disclosure) einzuhalten. Die Autoren übernehmen keine Haftung für Missbrauch.

🔍 Über die Schwachstelle

CVE-2026-42530 ist ein Use-after-Free (CWE-416) im ngx_http_v3_module von NGINX. Wenn NGINX für die Auslieferung von HTTP/3 konfiguriert ist, kann ein entfernter, nicht authentifizierter Angreifer einen QPACK-Encoder-Stream innerhalb einer manipulierten HTTP/3-Sitzung erneut öffnen, wodurch ein Worker-Prozess auf freigegebenen Speicher zugreift. Die unmittelbare Auswirkung ist ein Worker-Absturz / -Neustart (Denial of Service); auf Hosts, auf denen ASLR deaktiviert ist oder umgangen werden kann, kann dies zu Remote-Code-Ausführung eskalieren.

Kernpunkt: Der Fehler ist nur erreichbar, wenn HTTP/3 (QUIC) aktiviert ist – standardmäßig ist es nicht aktiv. Hosts, die nur HTTP/1.1 oder HTTP/2 über TCP ausliefern, sind von diesem spezifischen Vektor nicht betroffen.

Betroffene und behobene Versionen

✨ Was dieser Scanner tut

Er öffnet eine echte HTTP/3-Verbindung, sendet eine einzelne HEAD /-Anfrage und liest den Server-Header zurück. Daraus klassifiziert er jedes Ziel – und entscheidend ist, dass er erreichbare, aber versionsversteckte Hosts als manuelle Überprüfung erforderlich behandelt, statt sie fälschlich als „sauber“ einzustufen, denn die Erreichbarkeit von QUIC ist die Voraussetzung für die CVE.

• 🛡️ Von Natur aus sicher – nur eine harmlose Sonde; öffnet niemals einen QPACK-Stream erneut, sendet niemals eine manipulierte/bösartige Sitzung.
• 📋 Massen-Scanning – übergeben Sie ihm eine Zielliste aus einer Datei oder von stdin.
• ⚡ Nebenläufig – die asynchrone (asyncio-)Engine verarbeitet hunderte laufende QUIC-Handshakes mit einer einzigen, einstellbaren Begrenzung.
• 🎯 Handlungsorientierte Klassifizierung – sechs klare Status statt eines bloßen wahr/falsch.
• 📦 Berichtsfertige Ausgabe – farbige Konsolenübersicht plus CSV / JSON für die Dokumentation des Auftrags.
• 🚦 CI-freundlich – beendet sich mit einem Exit-Code ungleich Null, wenn ein Host anfällig ist.

Status-Bedeutungen

📦 Installation

Erfordert Python 3.11+ (verwendet asyncio.timeout).

git clone https://github.com/renzi25031469/CVE-2026-42530-scanner.git
cd CVE-2026-42530-scanner
pip install aioquic

Tipp: Verwenden Sie eine virtuelle Umgebung – python3 -m venv .venv && source .venv/bin/activate.

🚀 Verwendung

# Einzelner Host
python3 cve-2026-42530-scanner.py example.com

# Viele Hosts aus einer Datei, 100 parallel, CSV speichern
python3 cve-2026-42530-scanner.py -f targets.txt -c 100 --csv results.csv

# Ziele von stdin übernehmen und JSON exportieren
cat hosts.txt | python3 cve-2026-42530-scanner.py -f - --json results.json

# Benutzerdefinierter Port und Timeout
python3 cve-2026-42530-scanner.py target.internal -p 8443 -t 5

Format der Zieldatei

Ein Host pro Zeile. Ports, Schemata, Pfade und Kommentare werden automatisch verarbeitet:

# production edge
edge01.example.com
edge02.example.com:8443
https://api.example.com/

# staging
10.0.5.21

Optionen

Beispielausgabe

[*] CVE-2026-42530 safe-check — 4 target(s), concurrency=100, timeout=10s

======================================================================
CVE-2026-42530 SAFE-CHECK RESULTS
======================================================================
[VULNERABLE              ] edge01.example.com:443  (Server: nginx/1.31.1)
      -> Vulnerable NGINX version over HTTP/3. Upgrade to nginx/1.31.2 or later.
[HTTP3_VERSION_HIDDEN    ] api.example.com:443
      -> HTTP/3 reachable but Server header is masked. Verify the NGINX version manually.
[LIKELY_PATCHED          ] edge02.example.com:8443  (Server: nginx/1.31.2)
[NO_HTTP3                ] 10.0.5.21:443
----------------------------------------------------------------------
Summary: VULNERABLE=1 | HTTP3_VERSION_HIDDEN=1 | LIKELY_PATCHED=1 | NO_HTTP3=1

[!] 1 host(s) appear VULNERABLE. Mitigation: upgrade to nginx/1.31.2 or later,
    or remove 'quic' from all 'listen' directives.
======================================================================

🩹 Behebung

1. Patchen – aktualisieren Sie NGINX Open Source auf 1.31.2+ (oder wenden Sie das F5-Advisory für NGINX Plus an).
2. Vorübergehende Abmilderung – wenn Sie nicht sofort patchen können, deaktivieren Sie HTTP/3, indem Sie den Parameter quic aus jeder listen-Direktive entfernen und http3 on; streichen, und laden Sie dann NGINX neu. Dadurch wird der anfällige Codepfad vollständig entfernt.
3. Defense in Depth – halten Sie ASLR aktiviert (/proc/sys/kernel/randomize_va_space = 2). Betrachten Sie dies als Härtungsschicht, nicht als Ersatz für das Patchen.

⚙️ Ein Hinweis zur Nebenläufigkeit

aioquic ist asynchron, daher verwendet dieser Scanner ein asyncio.Semaphore anstelle von OS-Threads. Für netzwerk-I/O-gebundene Arbeit – hunderte QUIC-Handshakes, die auf der Leitung warten – skaliert eine einzelne Ereignisschleife mit weit weniger Overhead als ein Thread-Pool und bietet dabei dasselbe Verhalten „viele Hosts gleichzeitig scannen“. Passen Sie die Begrenzung mit -c an.

🙏 Danksagungen

• Autor des ursprünglichen Safe-Checks: Ashraf Zaryouh – @0xBlackash · ursprüngliches Repository
• Angepasst und erweitert von: Renzi – Multi-Ziel-Datei-/stdin-Eingabe, begrenzte asynchrone Nebenläufigkeit für Massen-Scans, korrigierte HTTP/3-Ereignisbehandlung, strukturierte Ergebnisklassifizierung und CSV/JSON-Berichterstattung.

Dank an die Forscher, die in der ursprünglichen Offenlegung genannt werden, für ihre koordinierte Meldung.

📄 Lizenz

Veröffentlicht unter der MIT-Lizenz. Siehe LICENSE.

_{Gebaut für Verteidiger und autorisierte Red Teams. Scannen Sie verantwortungsbewusst. 🔐}