CVE-2026-42945 Script d'évaluation des risques réels

Outil local d'évaluation des risques pour CVE-2026-42945 (Nginx Rift). Contrairement à ceux qui vous disent simplement « si la version est affectée, c'est dangereux », ce script vérifie couche par couche les trois conditions qui déterminent réellement le risque et donne une conclusion adaptée à votre situation.

Contexte

CVE-2026-42945 est une vulnérabilité de dépassement de tampon de tas (CWE-122) présente depuis 18 ans dans le module ngx_http_rewrite_module de nginx, avec un score CVSS 4.0 de 9,2. Mais l'annonce contient une condition clé :

"Exécution de code possible sur les systèmes sans protection ASLR"

Pour qu'une RCE soit possible, trois conditions doivent être simultanément remplies :

1. nginx a une combinaison spécifique d'instructions rewrite + set
2. L'ASLR est désactivé sur le système (activé par défaut sur les Linux modernes)
3. Les octets de l'adresse du tas de nginx sont exactement tous des caractères sûrs pour les URI

Si l'une d'elles manque, le pire des scénarios est un crash du processus worker suivi d'un redémarrage automatique (DoS), et non une prise de contrôle du serveur.

Analyse détaillée : « La bombe cachée de nginx depuis 18 ans : la vulnérabilité 9.2 a-t-elle explosé votre serveur ? »

Utilisation rapide

# Exécution (nécessite sudo pour lire la configuration complète de nginx)
sudo bash check_cve_2026_42945.sh

Éléments vérifiés

Le script vérifie successivement les quatre éléments suivants ; si l'un d'eux n'est pas satisfait, il s'arrête prématurément et donne une conclusion :

Exemples de sortie

Cas 1 : Version affectée mais absence de configuration déclenchant la vulnérabilité (le plus courant)

[*] Version de nginx : 1.24.0
[!] La version 1.24.0 est dans la plage affectée, poursuite de la vérification des conditions de déclenchement...
[*] Analyse de la configuration nginx (vérification de la combinaison rewrite+set déclenchant la vulnérabilité)...
[✓] Aucune configuration déclenchant la vulnérabilité (combinaison rewrite+set) trouvée

  Conclusion : Version affectée mais pas de configuration déclenchant la vulnérabilité, risque réel très faible
  Recommandation : Planifier la mise à niveau vers 1.30.1 / 1.31.0, pas d'urgence

Cas 2 : Configuration déclenchant présente, ASLR activé, renforcement de compilation complet

[!] La version 1.24.0 est dans la plage affectée, poursuite de la vérification des conditions de déclenchement...
[!] Configuration déclenchant la vulnérabilité trouvée :
    → location ~ ^/api/(.*)$ {
[✓] ASLR activé (niveau 2, randomisation complète)
    → Les conditions nécessaires à une exploitation fiable de RCE ne sont pas remplies, le pire des cas est un crash du worker (DoS)
[✓] -fcf-protection détecté (protection du flux de contrôle Intel CET)
[✓] FORTIFY_SOURCE=3 détecté
[✓] Full RELRO détecté (GOT en lecture seule)
[✓] Protection de la pile détectée (stack-protector)

  Niveau de risque : Faible
  Recommandation : Mettre à niveau vers nginx 1.30.1 / 1.31.0 lors de la prochaine fenêtre de maintenance

Cas 3 : Configuration déclenchant présente, ASLR désactivé

[!] Configuration déclenchant la vulnérabilité trouvée :
    → location ~ ^/api/(.*)$ {
[✗] ASLR désactivé ! Le risque de RCE augmente considérablement

  Niveau de risque : Élevé (DoS certain / RCE possible)

  Actions immédiates :
  1. Supprimer ou modifier temporairement la configuration rewrite+set déclenchant la vulnérabilité
  2. Confirmer que l'ASLR est activé : echo 2 | sudo tee /proc/sys/kernel/randomize_va_space
  3. Mettre à niveau nginx : apt install nginx   ou   compiler et installer 1.30.1+

Explication des niveaux de risque

Versions corrigées

# Ubuntu / Debian
sudo apt update && sudo apt install nginx

# Vérifier la version
nginx -v

Annonce officielle : https://my.f5.com/manage/s/article/K000161019

Couverture des tests

Le script a été testé dans les scénarios suivants :

• nginx non installé → sortie immédiate
• Version nginx hors plage affectée (1.31.0) → non affecté
• Version affectée, pas de configuration déclenchante → risque très faible
• Version affectée, configuration déclenchante présente, ASLR activé, renforcement complet → risque faible
• Version affectée, configuration déclenchante présente, ASLR désactivé → risque moyen/élevé

Environnement de test : Ubuntu 22.04 LTS, nginx 1.24.0 (paquet officiel Ubuntu)

Limitations

• La détection de configuration est basée sur des expressions régulières ; les structures complexes à plusieurs niveaux d'include peuvent ne pas être détectées (le script utilise nginx -T pour développer tous les includes, couvrant la grande majorité des cas)
• Ne teste pas les versions dérivées de nginx comme OpenResty / Tengine
• Applicable uniquement aux systèmes Linux

License

MIT