🛡️ CVE-2026-42530 - Vulnerabilidad de Use-After-Free en NGINX HTTP/3 (QUIC)

Use-After-Free de Alta Gravedad en NGINX HTTP/3 (QUIC)

---

⚠️ Vulnerabilidad del Flujo del Codificador QPACK

🔍 Resumen

CVE-2026-42530 es una vulnerabilidad de use-after-free en el módulo ngx_http_v3_module de NGINX.

Un atacante remoto no autenticado puede desencadenarla al reabrir un flujo del codificador QPACK cerrado a través de HTTP/3, causando caídas del proceso worker (DoS) y potencial Ejecución Remota de Código en algunas configuraciones.

🚨 Gravedad

Impacto: DoS + Posible RCE (bypass de ASLR posible)

📌 Versiones Afectadas

• NGINX Open Source — 1.31.0, 1.31.1
• Ciertas versiones de NGINX Plus
• Cualquier servidor con http3 / QUIC habilitado

Corregido en: 1.31.2 (publicado el 17 de junio de 2026)

🛠️ Verificador Seguro (CVE-2026-42530-safe-check.py)

python3 CVE-2026-42530-safe-check.py <target> [-p PORT] [-t TIMEOUT]

Características:

• ✅ No destructivo (seguro)
• ✅ Conexión HTTP/3 + QUIC real
• ✅ Huella digital de versión
• ✅ Salida con colores atractiva

🔍 Mejores Dorks de Shodan

"nginx/1.31.0" OR "nginx/1.31.1" quic OR http3
nginx "http/3" OR quic port:443
"alt-svc: h3" nginx
port:443 nginx quic

🛡️ Mitigación

1. Actualice inmediatamente a NGINX 1.31.2+
2. Deshabilite HTTP/3 (solución alternativa recomendada):
   root@kitploit:~

   listen 443 ssl;        # instead of listen 443 http3;
   

3. Establezca server_tokens off;

📚 Referencias

• Aviso oficial de F5: K000161616
• Registro CVE: CVE-2026-42530