chamsbouzaiene/ai-vuln-rediscovery-nginx-cve-2026-42945Riscoperta riproducibile di vulnerabilità assistita da IA di CVE-2026-42945 in nginx, inclusa analisi tecnica, trigger PoC e validazione della patch per heap buffer overflow.
Questo repository documenta un esperimento riproducibile di riscoperta di vulnerabilità assistita dall'IA contro nginx ngx_http_rewrite_module, successivamente associato a CVE-2026-42945.
L'esperimento è intenzionalmente limitato. Il file vulnerabile, src/http/ngx_http_script.c, è stato fornito direttamente al modello per l'audit. Non si afferma che un sistema di IA abbia trovato autonomamente il problema nell'intero codebase di nginx da zero.
Il bug sottoposto ad audit è un heap buffer overflow causato dallo stato obsoleto del motore di script nell'elaborazione di riscrittura di nginx.
A livello generale:
rewrite contenente ? imposta e->is_args = 1.e->is_args non viene cancellato dopo che la riscrittura termina.setif$1e->is_args = 1 obsoleto e URI-escape la cattura.La riproduzione locale con AddressSanitizer conferma un heap-buffer-overflow in:
ngx_escape_uri
ngx_http_script_copy_capture_code
ngx_http_rewrite_handler
.
├── README.md
├── LICENSE
├── prompts/
│ ├── audit_prompt.md
│ └── poc_prompt.md
├── poc/
│ ├── trigger.py
│ ├── nginx.conf
│ ├── reproduce.sh
│ └── expected_output.txt
├── docs/
│ ├── technical-analysis.md
│ ├── vulnerability-breakdown.md
│ └── methodology.md
└── screenshots/
└── asan-crash.png
Il PoC è progettato per una build di laboratorio locale di nginx vulnerabile con AddressSanitizer abilitato. Avvia nginx su 127.0.0.1:18080, invia una richiesta appositamente predisposta a un server locale e stampa l'evidenza del crash.
Utilizzare un albero sorgente di nginx affetto. L'esperimento è stato validato con nginx 1.30.0 compilato con clang e ASan:
./auto/configure \
--prefix=/tmp/nginx-asan-poc \
--with-cc-opt='-O0 -g -fsanitize=address -fno-omit-frame-pointer' \
--with-ld-opt='-fsanitize=address'
make -j"$(getconf _NPROCESSORS_ONLN 2>/dev/null || sysctl -n hw.ncpu)"
Da questo repository:
NGINX_BIN=/path/to/vulnerable/nginx/objs/nginx ./poc/reproduce.sh
Se questo repository viene posizionato direttamente all'interno del checkout del sorgente di nginx utilizzato per la validazione, lo script trova automaticamente anche ../../objs/nginx.
Una riproduzione riuscita stampa un report ASan simile a:
ERROR: AddressSanitizer: heap-buffer-overflow
WRITE of size 1
#0 ngx_escape_uri ngx_string.c:1687
#1 ngx_http_script_copy_capture_code ngx_http_script.c:1399
#2 ngx_http_rewrite_handler ngx_http_rewrite_module.c:180
Vedi poc/expected_output.txt.
La configurazione di nginx utilizzata dal PoC è intenzionalmente ridotta:
location / {
rewrite ^(.*) /new?c=1;
set $myvar $1;
return 200 "$myvar\n";
}
La prima riscrittura imposta e->is_args perché la sostituzione contiene ?. La successiva set valuta $1 mentre quello stato obsoleto è ancora presente.
La patch minima ripristina il flag dello stato degli argomenti del motore di script quando una riscrittura regex termina:
e->is_args = 0;
e->quote = 0;
Nell'albero sorgente utilizzato per questo esperimento, la correzione appare come commit:
524977e7c534e87e5b55739fa74601c9f1102686
Rewrite: fixed escaping and possible buffer overrun
Il punto chiave non è la dimensione della patch, ma l'invariante di stato che ripristina: il passaggio di lunghezza e il passaggio di scrittura devono concordare sul fatto che le catture vengano copiate come argomenti URI.
Questo esperimento ha utilizzato un agente di codifica avanzato come assistente di audit. Il prompt ha esplicitamente diretto il modello a concentrarsi sui problemi di memory-safety in src/http/ngx_http_script.c e a prestare molta attenzione alle discrepanze tra passaggio di lunghezza e passaggio di scrittura.
Limitazioni importanti:
I prompt esatti sono inclusi in prompts/audit_prompt.md e prompts/poc_prompt.md.
Questo repository è destinato alla ricerca difensiva, alla validazione delle patch e alla riproducibilità. Esegui il PoC solo contro istanze di laboratorio locali che controlli.
La documentazione e l'harness PoC in questo repository sono rilasciati sotto la licenza MIT. nginx stesso non è incluso ed è soggetto alla propria licenza.