CVE-2026-42530 — Safe-Check Scanner

NGINX HTTP/3 (QUIC) use-after-free के लिए गैर-विनाशकारी मास स्कैनर
पता लगाएँ कि आपके कौन-से होस्ट उजागर (exposed) हैं — बग को कभी ट्रिगर किए बिना।

⚠️ अस्वीकरण

यह टूल केवल अधिकृत सुरक्षा परीक्षण के लिए है — आपका अपना इन्फ्रास्ट्रक्चर, या वे सिस्टम जिनका मूल्यांकन करने की आपके पास स्पष्ट लिखित अनुमति है। यह एक रीड-ओनली फ़िंगरप्रिंट करता है और भेद्यता का शोषण नहीं करता। दायरे (scope) में बने रहना तथा लागू कानूनों और responsible-disclosure सिद्धांतों का पालन करना आपकी ज़िम्मेदारी है। लेखक दुरुपयोग के लिए कोई दायित्व स्वीकार नहीं करते।

🔍 भेद्यता के बारे में

CVE-2026-42530 NGINX के ngx_http_v3_module में एक use-after-free (CWE-416) है। जब NGINX को HTTP/3 serve करने के लिए कॉन्फ़िगर किया जाता है, तो एक remote, unauthenticated attacker किसी crafted HTTP/3 session के भीतर QPACK encoder stream दोबारा खोल सकता है, जिससे worker process freed memory को reference करने लगता है। तत्काल प्रभाव worker crash/restart (denial of service) है; ऐसे होस्टों पर जहाँ ASLR disabled है या bypass किया जा सकता है, यह remote code execution तक बढ़ सकता है।

मुख्य बिंदु: यह flaw केवल तभी पहुँच योग्य है जब HTTP/3 (QUIC) enabled हो — यह डिफ़ॉल्ट रूप से चालू नहीं होता। केवल TCP पर HTTP/1.1 या HTTP/2 serve करने वाले होस्ट इस विशेष vector से प्रभावित नहीं होते।

प्रभावित और सुधारित संस्करण

✨ यह स्कैनर क्या करता है

यह एक वास्तविक HTTP/3 कनेक्शन खोलता है, एक HEAD / अनुरोध भेजता है, और Server header को वापस पढ़ता है। इसके आधार पर यह प्रत्येक target को वर्गीकृत करता है — और महत्वपूर्ण रूप से, यह reachable-लेकिन-version-hidden होस्टों को गलत "clean" के बजाय manual review की आवश्यकता के रूप में मानता है, क्योंकि QUIC का reachable होना इस CVE की पूर्वशर्त है।

• 🛡️ डिज़ाइन से सुरक्षित — केवल एक benign probe; कभी QPACK stream दोबारा नहीं खोलता, कभी crafted/दुर्भावनापूर्ण session नहीं भेजता।
• 📋 मास स्कैनिंग — इसे फ़ाइल या stdin से target list दें।
• ⚡ समवर्ती — async (asyncio) engine एक single, समायोज्य bound के साथ सैकड़ों QUIC handshakes को in-flight संभालता है।
• 🎯 कार्रवाई योग्य वर्गीकरण — केवल true/false के बजाय छह स्पष्ट statuses।
• 📦 रिपोर्ट-तैयार आउटपुट — engagement documentation के लिए रंगीन console summary तथा CSV / JSON।
• 🚦 CI-friendly — जब कोई होस्ट असुरक्षित हो तो non-zero exit code के साथ बाहर निकलता है।

Status के अर्थ

📦 इंस्टॉलेशन

इसके लिए Python 3.11+ चाहिए (asyncio.timeout का उपयोग करता है)।

git clone https://github.com/renzi25031469/CVE-2026-42530-scanner.git
cd CVE-2026-42530-scanner
pip install aioquic

सुझाव: virtual environment का उपयोग करें — python3 -m venv .venv && source .venv/bin/activate।

🚀 उपयोग

# Single host
python3 cve-2026-42530-scanner.py example.com

# Many hosts from a file, 100 in parallel, save a CSV
python3 cve-2026-42530-scanner.py -f targets.txt -c 100 --csv results.csv

# Pipe targets from stdin and export JSON
cat hosts.txt | python3 cve-2026-42530-scanner.py -f - --json results.json

# Custom port and timeout
python3 cve-2026-42530-scanner.py target.internal -p 8443 -t 5

Target फ़ाइल फ़ॉर्मेट

प्रत्येक पंक्ति में एक होस्ट। Ports, schemes, paths और comments स्वचालित रूप से संभाले जाते हैं:

# production edge
edge01.example.com
edge02.example.com:8443
https://api.example.com/

# staging
10.0.5.21

विकल्प

नमूना आउटपुट

[*] CVE-2026-42530 safe-check — 4 target(s), concurrency=100, timeout=10s

======================================================================
CVE-2026-42530 SAFE-CHECK RESULTS
======================================================================
[VULNERABLE              ] edge01.example.com:443  (Server: nginx/1.31.1)
      -> Vulnerable NGINX version over HTTP/3. Upgrade to nginx/1.31.2 or later.
[HTTP3_VERSION_HIDDEN    ] api.example.com:443
      -> HTTP/3 reachable but Server header is masked. Verify the NGINX version manually.
[LIKELY_PATCHED          ] edge02.example.com:8443  (Server: nginx/1.31.2)
[NO_HTTP3                ] 10.0.5.21:443
----------------------------------------------------------------------
Summary: VULNERABLE=1 | HTTP3_VERSION_HIDDEN=1 | LIKELY_PATCHED=1 | NO_HTTP3=1

[!] 1 host(s) appear VULNERABLE. Mitigation: upgrade to nginx/1.31.2 or later,
    or remove 'quic' from all 'listen' directives.
======================================================================

🩹 निवारण

1. पैच — NGINX Open Source को 1.31.2+ पर अपग्रेड करें (या NGINX Plus के लिए F5 advisory लागू करें)।
2. अस्थायी शमन — यदि आप तुरंत पैच नहीं कर सकते, तो हर listen directive से quic parameter हटाकर और http3 on; हटाकर HTTP/3 बंद कर दें, फिर NGINX को reload करें। इससे असुरक्षित code path पूरी तरह समाप्त हो जाता है।
3. Defense in depth — ASLR enabled रखें (/proc/sys/kernel/randomize_va_space = 2)। इसे hardening परत मानें, पैचिंग का विकल्प नहीं।

⚙️ concurrency पर एक टिप्पणी

aioquic asynchronous है, इसलिए यह स्कैनर OS threads के बजाय asyncio.Semaphore का उपयोग करता है। Network-I/O-bound कार्य के लिए — wire पर प्रतीक्षा कर रहे सैकड़ों QUIC handshakes — एक single event loop thread pool की तुलना में काफी कम overhead के साथ बेहतर scale करता है, वही "एक साथ कई होस्ट स्कैन करें" व्यवहार देते हुए। -c से bound समायोजित करें।

🙏 श्रेय

• मूल safe-check लेखक: Ashraf Zaryouh — @0xBlackash · मूल रिपॉज़िटरी
• अनुकूलन एवं विस्तार: Renzi — multi-target file/stdin इनपुट, mass scanning के लिए bounded async concurrency, सही HTTP/3 event handling, संरचित result वर्गीकरण, और CSV/JSON रिपोर्टिंग।

मूल disclosure में श्रेयित शोधकर्ताओं का उनके समन्वित reporting के लिए धन्यवाद।

📄 लाइसेंस

MIT License के अंतर्गत जारी किया गया। देखें LICENSE।

_{Defenders और अधिकृत red teams के लिए बनाया गया। जिम्मेदारी से स्कैन करें। 🔐}