CVE-2026-42945 — NGINX Wazuh SCA रक्षात्मक प्रयोगशाला

अवलोकन

यह रिपॉजिटरी CVE-2026-42945 के लिए एक रक्षात्मक प्रयोगशाला का दस्तावेज़ीकरण करती है, जो NGINX ngx_http_rewrite_module को प्रभावित करती है।

इस परियोजना का लक्ष्य Wazuh Security Configuration Assessment (SCA) का उपयोग करके NGINX एक्सपोज़र का केंद्रीय रूप से आकलन करते हुए CVE को ब्लू-टीम परिप्रेक्ष्य से देखना था।

प्रयोगशाला दो एक्सपोज़र स्थितियों की जाँच करती है:

1. एक अनपैच्ड Ubuntu NGINX पैकेज संस्करण
2. CVE-2026-42945 से संबंधित एक जोखिमपूर्ण NGINX rewrite कॉन्फ़िगरेशन पैटर्न

अंतिम परिणाम एक केंद्रीकृत Wazuh SCA पॉलिसी है जिसे Wazuh केंद्रीकृत एजेंट कॉन्फ़िगरेशन के माध्यम से निगरानी किए जा रहे NGINX सर्वरों पर तैनात किया जा सकता है।

प्रयोगशाला आर्किटेक्चर

प्रयोगशाला एक विभाजित नेटवर्क आर्किटेक्चर का उपयोग करके बनाई गई थी।

Internet / WAN
     |
     |
  pfSense Firewall
     |
     |-----------------------------
     |                             |
    LAN                           DMZ
     |                             |
Wazuh Manager                Ubuntu NGINX Server
Wazuh Dashboard              Wazuh Agent
                             NGINX

घटक

उद्देश्य

उद्देश्य एक सुरक्षित और दोहराने योग्य रक्षात्मक कार्यप्रवाह बनाना था:

Wazuh Manager
     |
     | Centralized SCA policy
     v
Wazuh Agent on DMZ NGINX Server
     |
     | Checks package version and NGINX configuration
     v
Wazuh Dashboard
     |
     | Shows passed / failed checks
     v
Remediation validation

यह दृष्टिकोण exploit कोड चलाए बिना CVE एक्सपोज़र आकलन की अनुमति देता है।

पहचान रणनीति

कस्टम Wazuh SCA पॉलिसी दो जाँचें करती है।

जाँच 1 — NGINX पैकेज संस्करण

पॉलिसी जाँचती है कि क्या स्थापित Ubuntu NGINX पैकेज प्रयोगशाला में देखे गए अनपैच्ड संस्करण से मेल खाता है।

प्रारंभिक असुरक्षित पैकेज संस्करण:

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

समाधान के बाद सुधारा गया पैकेज संस्करण:

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

पॉलिसी फ़ाइल:

sca-policy/nginx-cve-2026-42945.yml

जाँच 2 — जोखिमपूर्ण NGINX Rewrite कॉन्फ़िगरेशन

पॉलिसी CVE-2026-42945 से संबंधित एक जोखिमपूर्ण rewrite पैटर्न की भी जाँच करती है।

जोखिमपूर्ण परीक्षण कॉन्फ़िगरेशन यहाँ संग्रहीत है:

nginx-config/vulnerable-example.conf

समाधान किया गया कॉन्फ़िगरेशन यहाँ संग्रहीत है:

nginx-config/remediated-example.conf

प्रयोगशाला में परीक्षित जोखिमपूर्ण स्थिति में शामिल है:

rewrite directive
unnamed capture such as $1
replacement containing ?
follow-up directive such as set

रिपॉजिटरी संरचना

wazuh-nginx-cve-2026-42945-sca-lab/
├── README.md
├── sca-policy/
│   └── nginx-cve-2026-42945.yml
├── wazuh-config/
│   └── agent.conf
├── nginx-config/
│   ├── vulnerable-example.conf
│   └── remediated-example.conf
├── commands/
│   ├── 01-agent-validation.md
│   ├── 02-nginx-version-check.md
│   ├── 03-sca-policy-deployment.md
│   └── 04-remediation.md
├── screenshots/
│   ├── 01-lab-architecture.png
│   ├── 02-agent-active.png
│   ├── 03-sca-policy-failed.png
│   ├── 04-nginx-package-before.png
│   ├── 05-risky-rewrite-config.png
│   ├── 06-sca-partial-remediation.png
│   ├── 07-nginx-package-after.png
│   └── 08-sca-policy-passed.png
└── docs/
    └── lab-notes.md

प्रयोगशाला कैसे बनाई गई

चरण 1 — नेटवर्क विभाजन

प्रयोगशाला ने वातावरण को अलग करने के लिए pfSense का उपयोग किया:

LAN:
- Wazuh Manager
- Wazuh Dashboard

DMZ:
- Ubuntu NGINX server
- Wazuh Agent

Ubuntu NGINX सर्वर को DMZ में रखा गया था।
Wazuh Manager को LAN में रखा गया था।

DMZ सर्वर से Wazuh Manager तक केवल आवश्यक Wazuh संचार की अनुमति दी गई थी।

चरण 2 — Wazuh एजेंट तैनाती

Ubuntu DMZ सर्वर को Wazuh एजेंट के रूप में पंजीकृत किया गया था।

एजेंट को Wazuh Manager से सत्यापित किया गया और सक्रिय के रूप में पुष्टि की गई।

सत्यापन कमांड इस प्रकार दस्तावेज़ित हैं:

commands/01-agent-validation.md

अपेक्षित स्थिति:

Agent: ubuntu-dmz-nginx2
Status: Active

चरण 3 — NGINX संस्करण आकलन

स्थापित NGINX पैकेज संस्करण की जाँच Ubuntu DMZ सर्वर पर की गई।

संस्करण-जाँच कमांड इस प्रकार दस्तावेज़ित हैं:

commands/02-nginx-version-check.md

प्रारंभिक स्थिति:

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

पैकेज इंडेक्स अपडेट के बाद, सुधारा गया उम्मीदवार संस्करण उपलब्ध हो गया:

1.28.3-2ubuntu1.1

चरण 4 — जोखिमपूर्ण NGINX कॉन्फ़िगरेशन

जोखिमपूर्ण rewrite पैटर्न का अनुकरण करने के लिए एक परीक्षण NGINX कॉन्फ़िगरेशन बनाया गया था।

असुरक्षित उदाहरण इसमें संग्रहीत है:

nginx-config/vulnerable-example.conf

समाधान किया गया संस्करण इसमें संग्रहीत है:

nginx-config/remediated-example.conf

उद्देश्य सेवा का शोषण करना नहीं था, बल्कि यह सत्यापित करना था कि क्या Wazuh SCA जोखिमपूर्ण स्थानीय कॉन्फ़िगरेशन एक्सपोज़र की पहचान कर सकता है।

चरण 5 — कस्टम Wazuh SCA पॉलिसी

Wazuh Manager पर एक कस्टम SCA पॉलिसी बनाई गई थी।

पॉलिसी फ़ाइल:

sca-policy/nginx-cve-2026-42945.yml

प्रयोगशाला में, यह पॉलिसी Wazuh Manager साझा निर्देशिका से तैनात की गई थी:

/var/ossec/etc/shared/default/nginx-cve-2026-42945.yml

पॉलिसी में दो जाँचें हैं:

चरण 6 — केंद्रीकृत एजेंट कॉन्फ़िगरेशन

कस्टम SCA पॉलिसी को Wazuh केंद्रीकृत एजेंट कॉन्फ़िगरेशन का उपयोग करके तैनात किया गया था।

केंद्रीकृत कॉन्फ़िगरेशन फ़ाइल इस रिपॉजिटरी में इस रूप में संग्रहीत है:

wazuh-config/agent.conf

प्रयोगशाला में, इसे इसके अंतर्गत तैनात किया गया था:

/var/ossec/etc/shared/default/agent.conf

Wazuh Manager Docker में चल रहा था:

single-node-wazuh.manager-1

तैनाती कमांड इस प्रकार दस्तावेज़ित हैं:

commands/03-sca-policy-deployment.md

चरण 7 — एजेंट पर पॉलिसी सत्यापन

Wazuh एजेंट को पुनः आरंभ करने के बाद, कस्टम SCA पॉलिसी Ubuntu DMZ सर्वर द्वारा प्राप्त की गई।

प्राप्त पॉलिसी इसके अंतर्गत दिखाई दी:

/var/ossec/etc/shared/nginx-cve-2026-42945.yml

Wazuh एजेंट लॉग ने पुष्टि की कि पॉलिसी लोड और मूल्यांकित की गई थी।

अपेक्षित लॉग संकेतक:

Loaded policy
Starting evaluation of policy
Evaluation finished for policy

प्रारंभिक परिणाम

दोनों एक्सपोज़र स्थितियों के मौजूद होने पर, Wazuh Dashboard ने दिखाया:

Passed: 0
Failed: 2
Score: 0%

इसका अर्थ है कि दोनों जाँचें विफल रहीं:

स्क्रीनशॉट:

screenshots/03-sca-policy-failed.png

समाधान

समाधान चरण 1 — जोखिमपूर्ण Rewrite कॉन्फ़िगरेशन ठीक करें

जोखिमपूर्ण NGINX rewrite कॉन्फ़िगरेशन को एक सुरक्षित कॉन्फ़िगरेशन से बदल दिया गया।

संदर्भ फ़ाइल:

nginx-config/remediated-example.conf

कॉन्फ़िगरेशन ठीक किए जाने और Wazuh SCA स्कैन दोबारा चलाने के बाद, अपेक्षित परिणाम था:

Passed: 1
Failed: 1
Score: 50%

इस चरण में:

स्क्रीनशॉट:

screenshots/06-sca-partial-remediation.png

समाधान चरण 2 — NGINX पैकेज अपग्रेड करें

NGINX पैकेजों को एक लक्षित पैकेज अपग्रेड का उपयोग करके अपग्रेड किया गया।

समाधान कमांड इस प्रकार दस्तावेज़ित हैं:

commands/04-remediation.md

अपग्रेड से पहले:

Installed: 1.28.3-2ubuntu1
Candidate: 1.28.3-2ubuntu1.1

अपग्रेड के बाद:

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

स्क्रीनशॉट:

screenshots/07-nginx-package-after.png

अंतिम परिणाम

दोनों समाधान चरण पूरे होने के बाद, Wazuh SCA परिणाम बदलकर यह हो गया:

Passed: 2
Failed: 0
Score: 100%

इसने पुष्टि की कि:

1. जोखिमपूर्ण rewrite कॉन्फ़िगरेशन ठीक कर दिया गया था
2. NGINX पैकेजों को सुधारे गए संस्करण में अपग्रेड कर दिया गया था

स्क्रीनशॉट:

screenshots/08-sca-policy-passed.png

परिणाम सारांश

स्क्रीनशॉट

अनुशंसित स्क्रीनशॉट:

उत्पादन संबंधी विचार

प्रयोगशाला के लिए, पॉलिसी को Wazuh default समूह के माध्यम से तैनात किया गया था।

उत्पादन में, एक समर्पित Wazuh एजेंट समूह बनाना बेहतर होता है, उदाहरण के लिए:

nginx-servers

केवल NGINX चलाने वाले सर्वरों को ही उस समूह में सौंपा जाना चाहिए।

अनुशंसित उत्पादन-शैली तैनाती:

Wazuh Manager
     |
     | Centralized SCA policy
     v
nginx-servers agent group
     |
     | Applied only to NGINX systems
     v
Wazuh Dashboard

यह NGINX-विशिष्ट जाँचों को असंबंधित सिस्टमों पर लागू करने से बचाता है।

Exploit कोड का उपयोग क्यों नहीं किया गया

यह परियोजना जानबूझकर exploit कोड से बचती है।

प्रयोगशाला का उद्देश्य रक्षात्मक सुरक्षा इंजीनियरिंग का प्रदर्शन करना था, न कि शोषण।

आकलन इस पर आधारित था:

package version exposure
configuration exposure
centralized Wazuh SCA validation
remediation verification

मुख्य निष्कर्ष

• Wazuh SCA का उपयोग CVE एक्सपोज़र का केंद्रीय रूप से आकलन करने के लिए किया जा सकता है।
• CVE सत्यापन के लिए हमेशा exploit निष्पादन की आवश्यकता नहीं होती।
• pfSense DMZ विभाजन प्रयोगशाला को अधिक यथार्थवादी बनाता है।
• कस्टम SCA पॉलिसियाँ पैकेज संस्करणों और जोखिमपूर्ण कॉन्फ़िगरेशन दोनों की जाँच कर सकती हैं।
• समाधान को मापने योग्य पहले-और-बाद के परिणामों के साथ सत्यापित किया जाना चाहिए।
• उत्पादन तैनाती के लिए एक समर्पित Wazuh एजेंट समूह का उपयोग किया जाना चाहिए।

अस्वीकरण

यह रिपॉजिटरी केवल शैक्षिक और रक्षात्मक सुरक्षा उद्देश्यों के लिए है।

इसमें कोई exploit कोड शामिल नहीं है।

जाँचें एक नियंत्रित प्रयोगशाला वातावरण के लिए डिज़ाइन की गई हैं और उत्पादन में उपयोग से पहले इनकी समीक्षा की जानी चाहिए।