Outil de détection de sécurité CVE-2026-42945

Il s'agit d'un outil de détection statique CVE-2026-42945 destiné à la défense et à l'inspection des réseaux internes, utilisé pour vérifier si les configurations liées à ngx_http_rewrite_module de NGINX contiennent des combinaisons rewrite à haut risque.

Ce projet ne fournit pas de code d'exploitation, n'envoie pas de requêtes HTTP malveillantes et ne tente pas de déclencher des crashs ou d'exécuter du code à distance. Il se contente de lire les fichiers de configuration NGINX locaux pour aider les équipes de sécurité à décider si une mise à niveau ou une modification de configuration est nécessaire.

Contexte de la vulnérabilité

CVE-2026-42945 est une vulnérabilité de débordement de tampon tas dans le module ngx_http_rewrite_module de NGINX Open Source et NGINX Plus.

Les scénarios de risque décrits dans l'avis public comprennent globalement :

• Présence d'une directive rewrite ;
• Suivie immédiatement d'une directive rewrite, if ou set ;
• Utilisation de références de capture PCRE non nommées dans la configuration, par exemple $1, $2 ;
• La chaîne de remplacement rewrite contient ?.

Les versions corrigées de NGINX Open Source incluent 1.30.1, 1.31.0 et les versions ultérieures. Pour NGINX Plus, veuillez vous référer aux versions corrigées indiquées dans l'avis du fournisseur.

Liens de référence :

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-42945
• Avis F5: https://my.f5.com/manage/s/article/K000161019
• Mirroir oss-security: https://seclists.org/oss-sec/2026/q2/519

Prérequis d'installation

Seulement Python 3, aucune dépendance externe.

python3 --version

Utilisation

Il est recommandé d'exporter d'abord la configuration NGINX complète rendue :

nginx -T > nginx-rendered.conf
python3 cve_2026_42945_checker.py nginx-rendered.conf

Vous pouvez également scanner directement le répertoire de configuration :

python3 cve_2026_42945_checker.py /etc/nginx

Sortie JSON :

python3 cve_2026_42945_checker.py --json nginx-rendered.conf

Si l'exportation de la configuration ne contient pas d'informations sur la version NGINX, vous pouvez spécifier manuellement la version pour faciliter l'évaluation :

python3 cve_2026_42945_checker.py --json --nginx-version 1.30.0 nginx-rendered.conf

Sortie SARIF, pratique pour l'importer dans GitHub code scanning ou sur une plateforme de sécurité interne :

python3 cve_2026_42945_checker.py --sarif nginx-rendered.conf > cve-2026-42945.sarif

Codes de sortie

• 0 : Aucun motif de configuration à haut risque trouvé ;
• 1 : Au moins un motif de configuration à haut risque trouvé ;
• 2 : Échec de lecture du fichier ou du chemin d'entrée.

Description de la sortie

Les champs importants dans les résultats de détection incluent :

• versions : Version NGINX identifiée depuis la configuration ou les paramètres et résultat d'évaluation ;
• findings : Emplacements, raisons et preuves des configurations à risque détectées ;
• summary : Nombre de fichiers scannés, nombre de découvertes et niveau de risque le plus élevé.

Un exemple de résultat de risque indiquera une preuve comme celle-ci :

rewrite ... ?$1; -> set ... $1;

Cela indique que la forme de cette configuration est similaire aux conditions de risque décrites dans l'avis public et nécessite une révision prioritaire.

Recommandations de correction

Mettez d'abord à niveau NGINX vers une version corrigée :

• NGINX Open Source 1.30.1, 1.31.0 ou versions ultérieures ;
• NGINX Plus : utilisez la version corrigée indiquée dans l'avis du fournisseur.

Il est également recommandé de revoir les règles rewrite :

• Évitez autant que possible de dépendre de références de capture non nommées comme $1, $2 ;
• Privilégiez les captures nommées ;
• Simplifiez les combinaisons successives de rewrite, if, set ;
• Scannez la configuration complète exportée avec nginx -T avant de la publier.

Limitations

Cet outil est un détecteur de configuration statique, pas un validateur complet de vulnérabilités. Il peut ne pas couvrir :

• Les configurations générées dynamiquement à l'exécution ;
• Les fichiers include non inclus dans le chemin de scan ;
• Les correctifs backportés par le fournisseur ;
• Les différences liées au trafic réel, aux paramètres de compilation et à l'environnement d'exécution.

Utilisez-le comme un outil auxiliaire pour l'inspection des réseaux internes et l'audit de configuration, et non comme la seule base d'évaluation des vulnérabilités.

Développement

Exécuter les tests :

python -m pytest

Le dépôt contient déjà un workflow GitHub Actions qui exécute automatiquement les tests lors des push et des pull requests.