CVE-2026-42945 — NGINX Wazuh SCA Defensives Labor

Übersicht

Dieses Repository dokumentiert ein defensives Labor für CVE-2026-42945, das das NGINX ngx_http_rewrite_module betrifft.

Das Ziel dieses Projekts war es, die CVE aus einer Blue-Team-Perspektive zu betrachten, indem Wazuh Security Configuration Assessment (SCA) verwendet wurde, um die NGINX-Exposition zentral zu bewerten.

Das Labor prüft zwei Expositionsbedingungen:

Eine ungepatchte Ubuntu-NGINX-Paketversion
Ein riskantes NGINX-Rewrite-Konfigurationsmuster im Zusammenhang mit CVE-2026-42945

Das Endergebnis ist eine zentralisierte Wazuh-SCA-Richtlinie, die über die zentrale Wazuh-Agentenkonfiguration auf überwachte NGINX-Server bereitgestellt werden kann.

Laborarchitektur

Das Labor wurde mit einer segmentierten Netzwerkarchitektur aufgebaut.

Internet / WAN
     |
     |
  pfSense Firewall
     |
     |-----------------------------
     |                             |
    LAN                           DMZ
     |                             |
Wazuh Manager                Ubuntu NGINX Server
Wazuh Dashboard              Wazuh Agent
                             NGINX

Komponenten

Komponente	Rolle
pfSense	Firewall und LAN/DMZ-Segmentierung
Ubuntu DMZ-Server	NGINX-Server, überwacht von Wazuh
NGINX	Zieldienst, der auf CVE-Exposition geprüft wird
Wazuh-Agent	Installiert auf dem Ubuntu DMZ-Server
Wazuh Manager	Zentraler Überwachungsserver, läuft in Docker
Wazuh Dashboard	Wird zur Überprüfung der SCA-Ergebnisse verwendet

Zielsetzung

Das Ziel war es, einen sicheren und wiederholbaren defensiven Workflow zu erstellen:

Wazuh Manager
     |
     | Zentrale SCA-Richtlinie
     v
Wazuh-Agent auf DMZ-NGINX-Server
     |
     | Prüft Paketversion und NGINX-Konfiguration
     v
Wazuh Dashboard
     |
     | Zeigt bestandene / fehlgeschlagene Prüfungen
     v
Überprüfung der Behebung

Dieser Ansatz ermöglicht die Bewertung der CVE-Exposition ohne Ausführung von Exploit-Code.

Erkennungsstrategie

Die benutzerdefinierte Wazuh-SCA-Richtlinie führt zwei Prüfungen durch.

Prüfung 1 — NGINX-Paketversion

Die Richtlinie prüft, ob die installierte Ubuntu-NGINX-Paketversion der ungepatchten Version aus dem Labor entspricht.

Anfängliche verwundbare Paketversion:

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

Behobene Paketversion nach der Behebung:

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

Richtliniendatei:

sca-policy/nginx-cve-2026-42945.yml

Prüfung 2 — Riskante NGINX-Rewrite-Konfiguration

Die Richtlinie prüft auch auf ein riskantes Rewrite-Muster im Zusammenhang mit CVE-2026-42945.

Die riskante Testkonfiguration ist hier gespeichert:

nginx-config/vulnerable-example.conf

Die behobene Konfiguration ist hier gespeichert:

nginx-config/remediated-example.conf

Die im Labor getestete riskante Bedingung umfasst:

rewrite-Direktive
unbenannter Capture wie $1
Ersetzung mit ?
Folgedirektive wie set

Repository-Struktur

wazuh-nginx-cve-2026-42945-sca-lab/
├── README.md
├── sca-policy/
│   └── nginx-cve-2026-42945.yml
├── wazuh-config/
│   └── agent.conf
├── nginx-config/
│   ├── vulnerable-example.conf
│   └── remediated-example.conf
├── commands/
│   ├── 01-agent-validation.md
│   ├── 02-nginx-version-check.md
│   ├── 03-sca-policy-deployment.md
│   └── 04-remediation.md
├── screenshots/
│   ├── 01-lab-architecture.png
│   ├── 02-agent-active.png
│   ├── 03-sca-policy-failed.png
│   ├── 04-nginx-package-before.png
│   ├── 05-risky-rewrite-config.png
│   ├── 06-sca-partial-remediation.png
│   ├── 07-nginx-package-after.png
│   └── 08-sca-policy-passed.png
└── docs/
    └── lab-notes.md

Wie das Labor aufgebaut wurde

Schritt 1 — Netzwerksegmentierung

Das Labor verwendete pfSense, um die Umgebung zu trennen in:

LAN:
- Wazuh Manager
- Wazuh Dashboard

DMZ:
- Ubuntu-NGINX-Server
- Wazuh-Agent

Der Ubuntu-NGINX-Server wurde in der DMZ platziert.
Der Wazuh Manager wurde im LAN platziert.

Nur die erforderliche Wazuh-Kommunikation wurde vom DMZ-Server zum Wazuh Manager erlaubt.

Schritt 2 — Bereitstellung des Wazuh-Agenten

Der Ubuntu-DMZ-Server wurde als Wazuh-Agent registriert.

Der Agent wurde vom Wazuh Manager verifiziert und als aktiv bestätigt.

Validierungsbefehle sind dokumentiert in:

commands/01-agent-validation.md

Erwarteter Status:

Agent: ubuntu-dmz-nginx2
Status: Active

Schritt 3 — NGINX-Versionsbewertung

Die installierte NGINX-Paketversion wurde auf dem Ubuntu-DMZ-Server überprüft.

Befehle zur Versionsprüfung sind dokumentiert in:

commands/02-nginx-version-check.md

Anfänglicher Zustand:

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

Nach dem Paketindex-Update stand die behobene Kandidatenversion zur Verfügung:

1.28.3-2ubuntu1.1

Schritt 4 — Riskante NGINX-Konfiguration

Es wurde eine Test-NGINX-Konfiguration erstellt, um das riskante Rewrite-Muster zu simulieren.

Das verwundbare Beispiel ist gespeichert in:

nginx-config/vulnerable-example.conf

Die behobene Version ist gespeichert in:

nginx-config/remediated-example.conf

Der Zweck war nicht, den Dienst auszunutzen, sondern zu validieren, ob Wazuh SCA eine riskante lokale Konfigurationsexposition identifizieren kann.

Schritt 5 — Benutzerdefinierte Wazuh-SCA-Richtlinie

Eine benutzerdefinierte SCA-Richtlinie wurde auf dem Wazuh Manager erstellt.

Richtliniendatei:

sca-policy/nginx-cve-2026-42945.yml

Im Labor wurde diese Richtlinie aus dem gemeinsamen Verzeichnis des Wazuh Manager bereitgestellt:

/var/ossec/etc/shared/default/nginx-cve-2026-42945.yml

Die Richtlinie enthält zwei Prüfungen:

Prüf-ID	Zweck
100449	Verwundbare/unbehobene NGINX-Ubuntu-Paketversion erkennen
100450	Riskantes NGINX-Rewrite-Konfigurationsmuster erkennen

Schritt 6 — Zentrale Agentenkonfiguration

Die benutzerdefinierte SCA-Richtlinie wurde mit der zentralen Wazuh-Agentenkonfiguration bereitgestellt.

Die zentrale Konfigurationsdatei ist in diesem Repository gespeichert als:

wazuh-config/agent.conf

Im Labor wurde sie bereitgestellt unter:

/var/ossec/etc/shared/default/agent.conf

Der Wazuh Manager lief in Docker:

single-node-wazuh.manager-1

Bereitstellungsbefehle sind dokumentiert in:

commands/03-sca-policy-deployment.md

Schritt 7 — Richtlinienvalidierung auf dem Agenten

Nach dem Neustart des Wazuh-Agenten wurde die benutzerdefinierte SCA-Richtlinie vom Ubuntu-DMZ-Server empfangen.

Die empfangene Richtlinie erschien unter:

/var/ossec/etc/shared/nginx-cve-2026-42945.yml

Die Wazuh-Agentenprotokolle bestätigten, dass die Richtlinie geladen und ausgewertet wurde.

Erwartete Protokollindikatoren:

Loaded policy
Starting evaluation of policy
Evaluation finished for policy

Erstes Ergebnis

Bei Vorliegen beider Expositionsbedingungen zeigte das Wazuh Dashboard:

Passed: 0
Failed: 2
Score: 0%

Das bedeutet, dass beide Prüfungen fehlgeschlagen sind:

Prüfung	Ergebnis
NGINX-Paketversion	Fehlgeschlagen
Riskante Rewrite-Konfiguration	Fehlgeschlagen

Screenshot:

screenshots/03-sca-policy-failed.png

Behebung

Behebungsschritt 1 — Riskante Rewrite-Konfiguration beheben

Die riskante NGINX-Rewrite-Konfiguration wurde durch eine sicherere Konfiguration ersetzt.

Referenzdatei:

nginx-config/remediated-example.conf

Nachdem die Konfiguration behoben und der Wazuh-SCA-Scan erneut durchgeführt wurde, war das erwartete Ergebnis:

Passed: 1
Failed: 1
Score: 50%

In diesem Stadium:

wazuh-nginx-cve-2026-42945-sca-lab

Beliebteste