Riepilogo della vulnerabilità

La CVE-2025-23419 interessa scenari in cui più server blocks di NGINX condividono lo stesso IP e porta, e l'ambiente utilizza l'autenticazione tramite certificato client, nota anche come mTLS.

In determinate configurazioni, un attaccante potrebbe riutilizzare una sessione TLS precedentemente stabilita per aggirare i requisiti di autenticazione tramite certificato client in un altro contesto di virtual host.

La vulnerabilità è correlata all'uso di TLS session resumption, specialmente quando ssl_session_cache o ssl_session_tickets sono abilitati.

In pratica, l'esposizione dipende dalla combinazione tra versione vulnerabile, uso di TLS 1.3, configurazione della sessione TLS, molteplici virtual host e applicazione di mTLS in parti specifiche dell'ambiente.

Versioni interessate

Secondo advisory pubblici, il problema interessa:

Quando sono presenti le seguenti condizioni:

La correzione è stata pubblicata nelle versioni:

Pertanto, una versione come:

deve essere considerata potenzialmente vulnerabile, purché lo scenario di configurazione sia altresì compatibile con la falla.

Importante: la versione vulnerabile, da sola, non conferma l'exploit. Indica la necessità di validare la configurazione.

Script disponibile

Cosa fa lo script

Lo script esegue validazioni sicure per rilevare indizi della vulnerabilità:

• tenta identificare l'header Server;
• verifica se il servizio sembra essere NGINX;
• estrae la versione di NGINX quando esposta;
• confronta la versione con l'intervallo potenzialmente vulnerabile;
• tenta dedurre se l'endpoint richiede mTLS;
• verifica indizi di TLS session resumption;
• testa SNI/Host casuale per identificare un possibile vhost/default senza mTLS sullo stesso IP e porta;
• restituisce un output semplice indicando POSSIVEL o NAO_INDICADO.

Cosa non fa lo script

Questo script non sfrutta la vulnerabilità.

Non tenta:

• aggirare l'autenticazione mTLS;
• accedere ad area protetta;
• usare un certificato client valido;
• riutilizzare sessione tra diversi vhost in modo offensivo;
• causare indisponibilità;
• effettuare brute force;
• modificare dati nell'ambiente.

Lo scopo è solo rilevare indizi tecnici per supportare screening e validazione difensiva.

Scenario ideale per l'uso

Usa questo script quando sono presenti uno o più dei seguenti indizi:

Esempi di target adatti:

Utilizzo dello script

Esempio base

Esempio con output dettagliato

Esempio con output JSON

Esempio modificando timeout

Interpretazione dei risultati

Risultato POSSIVEL

Indica che lo script ha trovato indizi compatibili con una possibile esposizione alla CVE-2025-23419.

Ciò non conferma l'exploit. Significa che l'ambiente merita un'analisi manuale della configurazione NGINX e una validazione con il team responsabile.

Esempio di output dettagliato:

Questi dati aiutano a capire perché l'endpoint è stato classificato come possibile esposizione.

Risultato NAO_INDICADO

Indica che lo script non ha trovato indizi sufficienti per segnalare una possibile esposizione su quell'endpoint.

Ciò non garantisce l'assoluta assenza della vulnerabilità, soprattutto se:

• l'header Server è nascosto;
• la versione di NGINX non è esposta;
• il mTLS si trova in un altro virtual host;
• il bilanciatore/CDN sta mascherando il vero NGINX;
• la validazione viene effettuata sull'endpoint sbagliato;
• la configurazione reale di NGINX non può essere dedotta esternamente.

Campi regolabili nello script

I principali punti che possono essere regolati sono:

Questa lista rappresenta codici HTTP che possono indicare un fallimento relativo a certificato client mancante o non valido.

È anche possibile regolare il timeout tramite riga di comando:

Requisiti

Dipendenze

Lo script utilizza solo librerie standard di Python.

Dipendenze principali:

Non è necessario installare librerie esterne tramite pip.

Raccomandazioni di mitigazione

Aggiorna NGINX a una versione corretta, preferibilmente 1.26.3, 1.27.4 o superiore, a seconda del canale utilizzato.

Rivedi la configurazione dei server block che condividono lo stesso IP e porta, specialmente quando c'è mTLS solo in una parte dei virtual host.

Valuta l'uso di:

Inoltre, rivedi le configurazioni in proxy, gateway, bilanciatori, ingress controller e CDN, poiché il componente che termina TLS potrebbe non essere lo stesso che risponde per l'applicazione finale.

Riferimenti

Avviso legale

Questo script deve essere utilizzato solo in ambienti autorizzati.

La finalità è supportare screening, validazione sicura, pentest autorizzato, analisi difensiva e conferma di esposizione di configurazione.

L'uso contro sistemi senza autorizzazione è proibito.