Résumé de la vulnérabilité

La CVE-2025-23419 affecte les scénarios où plusieurs server blocks de NGINX partagent la même IP et le même port, et où l'environnement utilise l'authentification par certificat client, également connue sous le nom de mTLS.

Dans certaines configurations, un attaquant pourrait réutiliser une session TLS précédemment établie pour contourner les exigences d'authentification par certificat client dans un autre contexte d'hôte virtuel.

La vulnérabilité est liée à l'utilisation de la reprise de session TLS, surtout lorsque ssl_session_cache ou ssl_session_tickets sont activés.

En pratique, l'exposition dépend de la combinaison entre la version vulnérable, l'utilisation de TLS 1.3, la configuration de session TLS, plusieurs hôtes virtuels et l'application de mTLS sur des parties spécifiques de l'environnement.

Versions affectées

Selon les avis publics, le problème affecte :

Lorsque les conditions suivantes sont présentes :

La correction a été publiée dans les versions :

Par conséquent, une version telle que :

doit être traitée comme potentiellement vulnérable, à condition que le scénario de configuration soit également compatible avec la faille.

Important : la version vulnérable, à elle seule, ne confirme pas l'exploitation. Elle indique la nécessité de valider la configuration.

Script disponible

Ce que fait le script

Le script effectue des validations sécurisées pour recueillir des indices de la vulnérabilité :

• tente d'identifier l'en-tête Server ;
• vérifie si le service semble être NGINX ;
• extrait la version de NGINX lorsqu'elle est exposée ;
• compare la version avec l'intervalle potentiellement vulnérable ;
• tente de déduire si le endpoint exige mTLS ;
• vérifie les indices de reprise de session TLS ;
• teste un SNI/Hôte aléatoire pour identifier un éventuel vhost/défaut sans mTLS sur la même IP et le même port ;
• retourne une sortie simple indiquant POSSIVEL ou NAO_INDICADO.

Ce que le script ne fait pas

Ce script n'exploite pas la vulnérabilité.

Il ne tente pas :

• contourner l'authentification mTLS ;
• accéder à une zone protégée ;
• utiliser un certificat client valide ;
• réutiliser une session entre différents vhosts de manière offensive ;
• provoquer une indisponibilité ;
• effectuer une attaque par force brute ;
• modifier des données dans l'environnement.

Le but est seulement de recueillir des indices techniques pour soutenir le tri et la validation défensive.

Scénario idéal d'utilisation

Utilisez ce script lorsqu'il y a un ou plusieurs des indices suivants :

Exemples de cibles appropriées :

Utilisation du script

Exemple basique

Exemple avec sortie détaillée

Exemple avec sortie en JSON

Exemple en modifiant le timeout

Interprétation des résultats

Résultat POSSIVEL

Indique que le script a trouvé des indices compatibles avec une éventuelle exposition à la CVE-2025-23419.

Cela ne confirme pas d'exploitation. Cela signifie que l'environnement mérite une analyse manuelle de la configuration NGINX et une validation avec l'équipe responsable.

Exemple de sortie détaillée :

Ces données aident à comprendre pourquoi le endpoint a été classé comme exposition possible.

Résultat NAO_INDICADO

Indique que le script n'a pas trouvé suffisamment d'indices pour signaler une exposition possible sur ce endpoint.

Cela ne garantit pas l'absence absolue de la vulnérabilité, surtout si :

• l'en-tête Server est masqué ;
• la version de NGINX n'est pas exposée ;
• le mTLS se trouve sur un autre hôte virtuel ;
• le load balancer/CDN masque le NGINX réel ;
• la validation est effectuée sur le mauvais endpoint ;
• la configuration réelle de NGINX ne peut pas être déduite de l'extérieur.

Champs ajustables dans le script

Les principaux points qui peuvent être ajustés sont :

Cette liste représente des codes HTTP pouvant indiquer un échec lié à un certificat client absent ou invalide.

Il est également possible d'ajuster le timeout via la ligne de commande :

Prérequis

Dépendances

Le script utilise uniquement les bibliothèques standard de Python.

Dépendances principales :

Il n'est pas nécessaire d'installer des bibliothèques externes via pip.

Recommandations d'atténuation

Mettez à jour NGINX vers une version corrigée, de préférence 1.26.3, 1.27.4 ou supérieure, selon le canal utilisé.

Révisez la configuration des server blocks qui partagent la même IP et le même port, surtout lorsqu'il y a mTLS sur seulement une partie des hôtes virtuels.

Évaluez l'utilisation de :

Il est également recommandé d'isoler les contextes qui exigent un certificat client et de valider si l'authentification mTLS est appliquée sur l'hôte virtuel correct.

De plus, vérifiez les configurations sur les proxies, passerelles, équilibreurs de charge, contrôleurs d'entrée et CDN, car le composant qui termine TLS peut ne pas être le même que celui qui répond pour l'application finale.

Références

Avis légal

Ce script doit être utilisé uniquement dans des environnements autorisés.

Le but est de soutenir le tri, la validation sécurisée, le test d'intrusion autorisé, l'analyse défensive et la confirmation de l'exposition de configuration.

L'utilisation contre des systèmes sans autorisation est interdite.