nginx में CVE-2026-42945 की AI-सहायता प्राप्त पुनःखोज

यह रिपॉज़िटरी nginx ngx_http_rewrite_module के विरुद्ध एक पुनरुत्पादनीय AI-सहायता प्राप्त भेद्यता पुनःखोज प्रयोग का दस्तावेज़ीकरण करता है, जिसे बाद में CVE-2026-42945 से जोड़ा गया।

यह प्रयोग जानबूझकर संकीर्ण है। असुरक्षित फ़ाइल, src/http/ngx_http_script.c, को ऑडिट के लिए सीधे मॉडल को प्रदान किया गया था। यह दावा नहीं है कि किसी AI प्रणाली ने पूर्ण nginx कोडबेस में स्वायत्त रूप से समस्या खोजी।

सारांश

ऑडिट की गई बग nginx रीराइट प्रोसेसिंग में पुरानी स्क्रिप्ट-इंजन स्थिति के कारण होने वाला हीप बफर ओवरफ्लो है।

उच्च स्तर पर:

1. एक rewrite प्रतिस्थापन जिसमें ? है, e->is_args = 1 सेट करता है।
2. असुरक्षित कोड में, रीराइट पूरा होने के बाद e->is_args साफ़ नहीं किया जाता।
3. एक बाद का set, if, या rewrite एक्सप्रेशन जो एक अनाम regex कैप्चर, जैसे $1, को कॉपी करता है, गंतव्य बफर का आकार ऐसे कर सकता है मानो कैप्चर को कच्चा कॉपी किया जाएगा।
4. लेखन पास तब पुराना e->is_args = 1 देखता है और कैप्चर को URI-एस्केप करता है।
5. एस्केपिंग बाइट्स, जैसे स्थानों को, एक बाइट से तीन बाइट्स तक विस्तारित कर सकती है, इसलिए लेखन पास लंबाई पास द्वारा गणना किए गए आवंटन से अधिक हो जाता है।

स्थानीय AddressSanitizer पुनरुत्पादन इसकी पुष्टि करता है:

ngx_escape_uri
ngx_http_script_copy_capture_code
ngx_http_rewrite_handler

यह रिपॉज़िटरी क्या रखता है

.
├── README.md
├── LICENSE
├── prompts/
│   ├── audit_prompt.md
│   └── poc_prompt.md
├── poc/
│   ├── trigger.py
│   ├── nginx.conf
│   ├── reproduce.sh
│   └── expected_output.txt
├── docs/
│   ├── technical-analysis.md
│   ├── vulnerability-breakdown.md
│   └── methodology.md
└── screenshots/
    └── asan-crash.png

पुनरुत्पादन

PoC को AddressSanitizer सक्षम के साथ असुरक्षित nginx के स्थानीय लैब बिल्ड के लिए डिज़ाइन किया गया है। यह 127.0.0.1:18080 पर nginx शुरू करता है, स्थानीय सर्वर को एक निर्मित अनुरोध भेजता है, और क्रैश साक्ष्य प्रिंट करता है।

1. ASan के साथ असुरक्षित nginx बनाएँ

एक प्रभावित nginx स्रोत ट्री का उपयोग करें। प्रयोग को clang और ASan के साथ निर्मित nginx 1.30.0 के विरुद्ध मान्य किया गया था:

./auto/configure \
  --prefix=/tmp/nginx-asan-poc \
  --with-cc-opt='-O0 -g -fsanitize=address -fno-omit-frame-pointer' \
  --with-ld-opt='-fsanitize=address'

make -j"$(getconf _NPROCESSORS_ONLN 2>/dev/null || sysctl -n hw.ncpu)"

2. PoC चलाएँ

इस रिपॉज़िटरी से:

NGINX_BIN=/path/to/vulnerable/nginx/objs/nginx ./poc/reproduce.sh

यदि इस रिपॉज़िटरी को सत्यापन के लिए उपयोग किए जाने वाले nginx स्रोत चेकआउट के अंदर सीधे रखा जाता है, तो स्क्रिप्ट स्वचालित रूप से ../../objs/nginx भी ढूंढ लेती है।

3. अपेक्षित परिणाम

एक सफल पुनरुत्पादन इस प्रकार का ASan रिपोर्ट प्रिंट करता है:

ERROR: AddressSanitizer: heap-buffer-overflow
WRITE of size 1
    #0 ngx_escape_uri ngx_string.c:1687
    #1 ngx_http_script_copy_capture_code ngx_http_script.c:1399
    #2 ngx_http_rewrite_handler ngx_http_rewrite_module.c:180

poc/expected_output.txt देखें।

न्यूनतम ट्रिगर कॉन्फ़िगरेशन

PoC द्वारा उपयोग किया गया nginx कॉन्फ़िग जानबूझकर छोटा है:

location / {
    rewrite ^(.*) /new?c=1;
    set $myvar $1;
    return 200 "$myvar\n";
}

पहला rewrite e->is_args सेट करता है क्योंकि प्रतिस्थापन में ? है। बाद का set उस पुरानी स्थिति के उपस्थित रहते हुए $1 का मूल्यांकन करता है।

आधिकारिक पैच

न्यूनतम पैच स्क्रिप्ट इंजन के तर्क-स्थिति फ़्लैग को रीसेट करता है जब कोई regex rewrite समाप्त होता है:

e->is_args = 0;
e->quote = 0;

इस प्रयोग के लिए उपयोग किए गए स्रोत ट्री में, फिक्स इस कमिट के रूप में दिखाई देता है:

524977e7c534e87e5b55739fa74601c9f1102686
Rewrite: fixed escaping and possible buffer overrun

मुख्य बिंदु पैच का आकार नहीं है, बल्कि यह जिस स्थिति अपरिवर्तनीयता को पुनर्स्थापित करता है: लंबाई पास और लेखन पास को इस बात पर सहमत होना चाहिए कि कैप्चर को URI तर्क के रूप में कॉपी किया जा रहा है या नहीं।

प्रयोग पारदर्शिता

इस प्रयोग ने एक अग्रणी कोडिंग एजेंट को ऑडिट सहायक के रूप में उपयोग किया। प्रॉम्प्ट ने मॉडल को स्पष्ट रूप से src/http/ngx_http_script.c में मेमोरी-सुरक्षा मुद्दों पर ध्यान केंद्रित करने और दो-पास लंबाई/लेखन बेमेल पर पूरा ध्यान देने का निर्देश दिया।

महत्वपूर्ण सीमाएँ:

• असुरक्षित स्रोत फ़ाइल सीधे प्रदान की गई थी।
• ऑडिट प्रॉम्प्ट बग वर्ग की ओर अत्यधिक लक्षित था।
• सत्यापन के दौरान मॉडल के पास स्थानीय रिपॉज़िटरी इतिहास तक पहुंच थी।
• परिणाम को निर्देशित पुनःखोज के रूप में समझा जाना चाहिए, स्वायत्त बग शिकार के रूप में नहीं।
• PoC केवल क्रैश/ASan साक्ष्य प्रदर्शित करता है; यह एक शस्त्रीकृत शोषण नहीं है।

सटीक प्रॉम्प्ट prompts/audit_prompt.md और prompts/poc_prompt.md में शामिल हैं।

जिम्मेदार उपयोग

यह रिपॉज़िटरी रक्षात्मक अनुसंधान, पैच सत्यापन और पुनरुत्पादनीयता के लिए है। PoC को केवल उन स्थानीय लैब इंस्टेंस के विरुद्ध चलाएँ जिन्हें आप नियंत्रित करते हैं।

लाइसेंस

इस रिपॉज़िटरी में दस्तावेज़ीकरण और PoC हार्नेस MIT लाइसेंस के तहत जारी किए गए हैं। nginx स्वयं शामिल नहीं है और अपने स्वयं के लाइसेंस द्वारा शासित है।