web_server_audit

Frag nicht, ob du verwundbar bist. Frag, ob du ausnutzbar bist.

Ein Python-Tool in einer einzigen Datei, das nginx und Apache gegen bekannte CVEs prüft, indem es sowohl die installierte Version als auch die Frage untersucht, ob der verwundbare Codepfad über deine Konfiguration tatsächlich erreichbar ist.

Warum?

Die meisten CVE-Scanner begnügen sich mit dem Versionsabgleich: „nginx 1.18.0 — CVE-2026-42945, Schweregrad HIGH, du bist verwundbar.“ Doch viele CVEs erfordern ein bestimmtes Konfigurationsmuster, um ausnutzbar zu sein. Ein Scanner, der die Konfiguration ignoriert, überschwemmt dich mit roten Warnungen, die kein echtes Risiko widerspiegeln – und schlimmer noch: Er kann die latenten Risiken verbergen, die Wirklichkeit werden würden, wenn sich deine Konfiguration morgen änderte.

web_server_audit beantwortet pro CVE zwei getrennte Fragen:

1. Liegt die installierte Version im verwundbaren Bereich?
2. Ist das Auslösemuster in der aktiven Konfiguration vorhanden?

In der Kombination ergeben sich drei ehrliche Einstufungen:

Funktionen

• 🎯 Auslöser-Erkennung pro CVE (nicht nur Versionsabgleich)
• 🟢 Trennung von aktivem und latentem Risiko in der Zusammenfassung
• 🐧 Ubuntu-Pro/ESM-Erkennung – markiert Pakete außerhalb der ESM-Abdeckung
• 🔬 ASLR-Prüfung, Dienststatus, lauschende Ports, Anzahl kürzlicher SIGSEGV-Ereignisse
• 🎨 Farbcodierte Terminalausgabe, JSON für Automatisierung
• 📦 Eine einzige Datei, Python 3.5+, keine Drittanbieter-Abhängigkeiten
• 🔌 Trivial erweiterbar – ein neues CVE in ~10 Zeilen hinzufügen

Schnellstart

git clone https://github.com/YOUR_USERNAME/web-server-audit.git
cd web-server-audit
sudo python3 web_server_audit.py

Unterstützte CVEs (nginx)

Die Apache-CVE-Liste ist derzeit leer, aber die Struktur ist vorhanden – siehe Erweitern weiter unten.

Zusätzliche Prüfungen

Über CVEs hinaus meldet das Tool außerdem:

• ASLR-Status (/proc/sys/kernel/randomize_va_space) – vollständiges ASLR reduziert die RCE-Ausnutzbarkeit von Speicherfehlern erheblich
• OS-Version & EOL-Status – kennzeichnet End-of-Life- oder ESM-only-Distributionen
• Ubuntu-Pro-(ESM-)Abonnementstatus für esm-infra und esm-apps
• Dienststatus – ob nginx/Apache tatsächlich läuft und auf welchen Ports
• Paketquelle – unterscheidet ESM-, PPA- und Standard-Repository-Installationen (Ubuntu)
• Worker-Abstürze – zählt SIGSEGV-Ereignisse der letzten 30 Tage als Indikator für aktive Ausnutzung

Anforderungen

• Python 3.5+ (funktioniert mit dem auf Ubuntu 18.04 enthaltenen Python 3.6)
• Keine Drittanbieter-Pakete – nur Standardbibliothek
• Verwendet nginx, apache2, systemctl, ss, journalctl, sofern verfügbar; überspringt die Prüfungen anderenfalls ohne Fehler

Verwendung

# Compact report (default — hides OK lines)
sudo python3 web_server_audit.py

# All findings including OK lines
sudo python3 web_server_audit.py --verbose

# No ANSI colors (good for pipes, logs, CI output)
sudo python3 web_server_audit.py --no-color

# Machine-readable JSON
sudo python3 web_server_audit.py --json

Exit-Codes

Exit-Code 2 ist ein natürliches Signal für CI/CD-Fehler.

Beispielausgabe

========================================================================
Web Server Audit - 2026-05-16T01:24:55
Host: web-prod-01
web_server_audit.py v1.0.0 - SiberSAN - MIT License
========================================================================

[system]
------------------------------------------------------------------------
  [OK] OK    ASLR fully enabled (randomize_va_space=2)
  [i] INFO  OS: Ubuntu 18.04.6 LTS
  [!] WARN  Ubuntu 18.04 is in ESM-only support

[nginx] version 1.18.0 (active)
------------------------------------------------------------------------
  [i] INFO  nginx listening on: 0.0.0.0:80, 0.0.0.0:443
  [i] INFO  CVE-2026-42945 (HIGH): version vulnerable but NOT triggered
           Trigger: rewrite + unnamed capture ($1,$2) + '?' in replacement
           Evidence: No rewrite directives in configuration
  [i] INFO  CVE-2026-42946 (MEDIUM): version vulnerable but NOT triggered
  [!] WARN  nginx installed from PPA (1.18.0-3ubuntu1+bionic1)

========================================================================
Real-risk summary
------------------------------------------------------------------------
ACTIVE EXPLOITATION RISK: none detected.

LATENT RISK - vulnerable version, no trigger in config (3):
  - [nginx] CVE-2026-42945 (HIGH)
  - [nginx] CVE-2026-42946 (MEDIUM)
  - [nginx] CVE-2026-42934 (LOW)
  These become exploitable if config changes introduce the trigger.
  Mitigation: config-change discipline + plan upgrade.

========================================================================
Findings: 0 critical, 2 warnings
========================================================================

Erweitern

Das Hinzufügen eines neuen CVE erfordert zwei Schritte.

1. Schreibe eine Trigger-Funktion, die den vollständigen Konfigurationstext (nginx -T-Ausgabe) entgegennimmt und (triggered: bool, evidence: str) zurückgibt:

def _trigger_my_cve(conf):
    hits = [l for l in conf.splitlines() if re.search(r'risky_directive', l)]
    if hits:
        return True, "Found: " + hits[0]
    return False, "Pattern not present"

2. Füge den Eintrag zu NGINX_CVES (oder APACHE_CVES) hinzu:

{
    "id": "CVE-XXXX-NNNNN",
    "name": "Descriptive name",
    "severity": "HIGH",
    "affected": ("1.10.0", "1.25.0"),
    "fixed_in": ["1.25.1"],
    "trigger_desc": "Human-readable trigger description",
    "trigger_fn": _trigger_my_cve,
},

Das war's. Das Framework übernimmt automatisch Klassifizierung, Ausgabeformatierung, JSON, Exit-Codes und die Zusammenfassung.

Einschränkungen

• Keine Tests auf aktive Ausnutzung. Es werden keine PoC-Anfragen gesendet. Dies ist ein reines Konfigurations- und Versionsanalyse-Tool.
• Die CVE-Datenbank ist eingebettet und manuell gepflegt; es gibt keine Online-Synchronisierung. Die Liste aktuell zu halten liegt in der Verantwortung des Nutzers.
• Die Auslöser-Erkennung ist heuristisch. Komplexe Konfigurationen mit tief verschachtelten Includes oder ungewöhnlichen Anführungszeichen können zu falsch-positiven oder falsch-negativen Ergebnissen führen. Verwende bei Zweifeln --verbose, um die Details zu prüfen.
• Getestet auf Ubuntu 18.04, 20.04, 22.04 und 24.04. Das Tool wird voraussichtlich auch auf anderen Linux-Distributionen laufen, aber die Paketquellen-Erkennung (ESM/PPA) ist Ubuntu-spezifisch.

Mitwirken

Pull Requests, Issues, neue CVE-Erkennungen und Unterstützung für weitere Webserver (lighttpd, Caddy, HAProxy usw.) sind alle willkommen.

Wenn du eine neue CVE-Erkennung vorschlägst, füge bitte Folgendes hinzu:

• Einen Link zum CVE-Eintrag (NVD, Herstellerhinweis oder Upstream-Changelog)
• Ein minimales Konfigurationsbeispiel, das die Erkennung auslöst
• Ein Gegenbeispiel, das sie nicht auslösen sollte

Lizenz

Veröffentlicht unter der MIT-Lizenz.

Copyright (c) 2026 SiberSAN