CVE-2026-42945 — Laboratoire défensif NGINX Wazuh SCA

Présentation

Ce dépôt documente un laboratoire défensif pour CVE-2026-42945, affectant le module ngx_http_rewrite_module de NGINX.

L'objectif de ce projet était d'aborder la CVE d'un point de vue blue team en utilisant Wazuh Security Configuration Assessment (SCA) pour évaluer centralement l'exposition de NGINX.

Le laboratoire vérifie deux conditions d'exposition :

1. Une version non corrigée du paquet Ubuntu NGINX
2. Un motif de configuration NGINX rewrite risqué lié à CVE-2026-42945

Le résultat final est une politique Wazuh SCA centralisée qui peut être déployée sur les serveurs NGINX surveillés via la configuration centralisée des agents Wazuh.

Architecture du laboratoire

Le laboratoire a été construit avec une architecture réseau segmentée.

Internet / WAN
     |
     |
  pfSense Firewall
     |
     |-----------------------------
     |                             |
    LAN                           DMZ
     |                             |
Wazuh Manager                Ubuntu NGINX Server
Wazuh Dashboard              Wazuh Agent
                             NGINX

Composants

Objectif

L'objectif était de construire un flux de travail défensif sûr et reproductible :

Wazuh Manager
     |
     | Centralized SCA policy
     v
Wazuh Agent on DMZ NGINX Server
     |
     | Checks package version and NGINX configuration
     v
Wazuh Dashboard
     |
     | Shows passed / failed checks
     v
Remediation validation

Cette approche permet d'évaluer l'exposition à la CVE sans exécuter de code d'exploitation.

Stratégie de détection

La politique Wazuh SCA personnalisée effectue deux vérifications.

Vérification 1 — Version du paquet NGINX

La politique vérifie si le paquet NGINX Ubuntu installé correspond à la version non corrigée observée dans le laboratoire.

Version initiale du paquet vulnérable :

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

Version corrigée du paquet après remédiation :

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

Fichier de politique :

sca-policy/nginx-cve-2026-42945.yml

Vérification 2 — Configuration NGINX rewrite risquée

La politique vérifie également un motif rewrite risqué lié à CVE-2026-42945.

La configuration de test risquée est stockée ici :

nginx-config/vulnerable-example.conf

La configuration corrigée est stockée ici :

nginx-config/remediated-example.conf

La condition risquée testée dans le laboratoire inclut :

rewrite directive
unnamed capture such as $1
replacement containing ?
follow-up directive such as set

Structure du dépôt

wazuh-nginx-cve-2026-42945-sca-lab/
├── README.md
├── sca-policy/
│   └── nginx-cve-2026-42945.yml
├── wazuh-config/
│   └── agent.conf
├── nginx-config/
│   ├── vulnerable-example.conf
│   └── remediated-example.conf
├── commands/
│   ├── 01-agent-validation.md
│   ├── 02-nginx-version-check.md
│   ├── 03-sca-policy-deployment.md
│   └── 04-remediation.md
├── screenshots/
│   ├── 01-lab-architecture.png
│   ├── 02-agent-active.png
│   ├── 03-sca-policy-failed.png
│   ├── 04-nginx-package-before.png
│   ├── 05-risky-rewrite-config.png
│   ├── 06-sca-partial-remediation.png
│   ├── 07-nginx-package-after.png
│   └── 08-sca-policy-passed.png
└── docs/
    └── lab-notes.md

Comment le laboratoire a été construit

Étape 1 — Segmentation réseau

Le laboratoire a utilisé pfSense pour séparer l'environnement en :

LAN:
- Wazuh Manager
- Wazuh Dashboard

DMZ:
- Ubuntu NGINX server
- Wazuh Agent

Le serveur NGINX Ubuntu a été placé dans la DMZ.
Le Wazuh Manager a été placé dans le LAN.

Seule la communication Wazuh requise était autorisée du serveur DMZ vers le Wazuh Manager.

Étape 2 — Déploiement de l'agent Wazuh

Le serveur DMZ Ubuntu a été enregistré comme agent Wazuh.

L'agent a été vérifié depuis le Wazuh Manager et confirmé comme actif.

Les commandes de validation sont documentées dans :

commands/01-agent-validation.md

État attendu :

Agent: ubuntu-dmz-nginx2
Status: Active

Étape 3 — Évaluation de la version NGINX

La version du paquet NGINX installé a été vérifiée sur le serveur DMZ Ubuntu.

Les commandes de vérification de version sont documentées dans :

commands/02-nginx-version-check.md

État initial :

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

Après la mise à jour de l'index des paquets, la version candidate corrigée est devenue disponible :

1.28.3-2ubuntu1.1

Étape 4 — Configuration NGINX risquée

Une configuration NGINX de test a été créée pour simuler le motif rewrite risqué.

L'exemple vulnérable est stocké dans :

nginx-config/vulnerable-example.conf

La version corrigée est stockée dans :

nginx-config/remediated-example.conf

L'objectif n'était pas d'exploiter le service, mais de valider si Wazuh SCA peut identifier une exposition locale à une configuration risquée.

Étape 5 — Politique Wazuh SCA personnalisée

Une politique SCA personnalisée a été créée sur le Wazuh Manager.

Fichier de politique :

sca-policy/nginx-cve-2026-42945.yml

Dans le laboratoire, cette politique a été déployée depuis le répertoire partagé du Wazuh Manager :

/var/ossec/etc/shared/default/nginx-cve-2026-42945.yml

La politique contient deux vérifications :

Étape 6 — Configuration centralisée des agents

La politique SCA personnalisée a été déployée en utilisant la configuration centralisée des agents Wazuh.

Le fichier de configuration centralisée est stocké dans ce dépôt sous :

wazuh-config/agent.conf

Dans le laboratoire, il a été déployé sous :

/var/ossec/etc/shared/default/agent.conf

Le Wazuh Manager était exécuté dans Docker :

single-node-wazuh.manager-1

Les commandes de déploiement sont documentées dans :

commands/03-sca-policy-deployment.md

Étape 7 — Validation de la politique sur l'agent

Après le redémarrage de l'agent Wazuh, la politique SCA personnalisée a été reçue par le serveur DMZ Ubuntu.

La politique reçue est apparue sous :

/var/ossec/etc/shared/nginx-cve-2026-42945.yml

Les journaux de l'agent Wazuh ont confirmé que la politique a été chargée et évaluée.

Indicateurs de journal attendus :

Loaded policy
Starting evaluation of policy
Evaluation finished for policy

Résultat initial

Avec les deux conditions d'exposition présentes, le Wazuh Dashboard affichait :

Passed: 0
Failed: 2
Score: 0%

Cela signifie que les deux vérifications ont échoué :

Capture d'écran :

screenshots/03-sca-policy-failed.png

Remédiation

Étape de remédiation 1 — Corriger la configuration rewrite risquée

La configuration NGINX rewrite risquée a été remplacée par une configuration plus sûre.

Fichier de référence :

nginx-config/remediated-example.conf

Après correction de la configuration et une nouvelle analyse Wazuh SCA, le résultat attendu était :

Passed: 1
Failed: 1
Score: 50%

À ce stade :

Capture d'écran :

screenshots/06-sca-partial-remediation.png

Étape de remédiation 2 — Mettre à niveau les paquets NGINX

Les paquets NGINX ont été mis à niveau au moyen d'une mise à niveau ciblée des paquets.

Les commandes de remédiation sont documentées dans :

commands/04-remediation.md

Avant la mise à niveau :

Installed: 1.28.3-2ubuntu1
Candidate: 1.28.3-2ubuntu1.1

Après la mise à niveau :

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

Capture d'écran :

screenshots/07-nginx-package-after.png

Résultat final

Après la réalisation des deux étapes de remédiation, le résultat Wazuh SCA est passé à :

Passed: 2
Failed: 0
Score: 100%

Cela a confirmé que :

1. La configuration rewrite risquée a été corrigée
2. Les paquets NGINX ont été mis à niveau vers la version corrigée

Capture d'écran :

screenshots/08-sca-policy-passed.png

Résumé des résultats

Captures d'écran

Captures d'écran recommandées :

Considérations pour la production

Pour le laboratoire, la politique a été déployée via le groupe default de Wazuh.

En production, il est préférable de créer un groupe d'agents Wazuh dédié, par exemple :

nginx-servers

Seuls les serveurs exécutant NGINX doivent être affectés à ce groupe.

Déploiement recommandé de type production :

Wazuh Manager
     |
     | Centralized SCA policy
     v
nginx-servers agent group
     |
     | Applied only to NGINX systems
     v
Wazuh Dashboard

Cela évite d'appliquer des vérifications spécifiques à NGINX à des systèmes sans rapport.

Pourquoi aucun code d'exploitation n'a été utilisé

Ce projet évite intentionnellement tout code d'exploitation.

Le but du laboratoire était de démontrer une ingénierie de sécurité défensive, et non l'exploitation.

L'évaluation était basée sur :

package version exposure
configuration exposure
centralized Wazuh SCA validation
remediation verification

Points clés à retenir

• Wazuh SCA peut être utilisé pour évaluer centralement l'exposition aux CVE.
• La validation d'une CVE ne nécessite pas toujours l'exécution d'un exploit.
• La segmentation DMZ avec pfSense rend le laboratoire plus réaliste.
• Les politiques SCA personnalisées peuvent vérifier à la fois les versions de paquets et les configurations risquées.
• La remédiation doit être validée avec des résultats mesurables avant/après.
• Un groupe d'agents Wazuh dédié doit être utilisé pour le déploiement en production.

Avertissement

Ce dépôt est destiné uniquement à des fins éducatives et de sécurité défensive.

Aucun code d'exploitation n'est inclus.

Les vérifications sont conçues pour un environnement de laboratoire contrôlé et doivent être examinées avant toute utilisation en production.