nginx PoolSlip × Rift — catena RCE indipendente da ASLR

Prima catena pubblica di due bug del motore di rewrite di nginx recentemente divulgati, combinati in un singolo system() remoto indipendente da ASLR sull'immagine Docker ufficiale stock nginx:1.30.0 (Debian 13, glibc 2.41) — nessun indirizzo hardcoded, nessun riavvio di nginx, ~90 % per worker fresco.

CVE-2026-9256 "PoolSlip" — un heap over-read di $args → leak di libc + heap live.
CVE-2026-42945 "rift" — un heap overflow di is_args (solo byte URL-safe) → una sovrascrittura parziale di 2 byte di un puntatore di cleanup limit_conn → ngx_destroy_pool lo percorre → system(cmd).

Entrambi sono lo stesso mismatch a due passaggi di is_args puntato verso due sink. Write-up tecnico completo: Writeup

Divulgazione e sicurezza

Entrambe le CVE sono già patchate e attivamente sfruttate in the wild. Aggiorna a nginx 1.30.2 (stable) o 1.31.1 (mainline) — nota che 1.30.1 corregge rift ma è ancora vulnerabile a PoolSlip, quindi solo 1.30.2 chiude entrambe. NGINX Plus: R36 P5 / R32 P7 / R37.0.1.1.

Questo è pubblicato solo per scopi educativi e test autorizzati. Viene eseguito contro il lab Docker locale incluso — non puntarlo verso infrastrutture che non possiedi o per cui non hai permesso scritto di testare.

CVE	nickname	vulnerabile	corretto (nginx OSS)
CVE-2026-42945	rift	0.6.27 – 1.30.0	1.30.1 / 1.31.0
CVE-2026-9256	PoolSlip	0.1.17 – 1.30.1 + 1.31.0	1.30.2 / 1.31.1

Cosa c'è nel repo

File	Scopo
`nginx.conf`	Una credibile configurazione di API-gateway (il target — `limit_conn`, un rewrite di migrazione v1→v2, un proxy di upload, una pagina di ricerca degradata). Nessun tuning dell'allocatore.
`run.sh`	Avvia il lab locale: `nginx:1.30.0` stock che serve `nginx.conf`, più un upstream lento, sull'host `:19322`.
`exp_official.py`	La catena completa: leak PoolSlip → deriva libc/heap → spray → groom → sovrascrittura parziale rift → `system()`.

Requisiti

Docker, Python 3 (per eseguire exp_official.py), curl, Linux x86-64.
Il lab è completamente autonomo / offline — run.sh usa perl (già presente nell'immagine nginx stock) per l'upstream lento, quindi non serve alcun pacchetto extra, nessun file slow_backend e nessuna connessione internet. Il binario nginx stesso rimane stock.
Opzionale: per seguire le sessioni gdb in WRITEUP.md, esegui docker exec e apt-get install gdb file binutils, poi carica gef.

Eseguirlo

git clone https://github.com/y198nt/Nginx-chain-Rift-Poolslip
cd Nginx-chain-Rift-Poolslip

bash run.sh                                          # stock nginx:1.30.0 on http://127.0.0.1:19322
python3 exp_official.py --cmd 'id > /tmp/rce_proof'  # leak → overwrite → system()
docker exec nginx-rift-official cat /tmp/rce_proof   # → uid=101(nginx) ...

exp_official.py è one-shot (~90 % per worker fresco): esegue il leak una volta e spara una volta. Se il file di prova è vuoto, il groom ha posizionato uno slot fuori posto — basta rieseguirlo.

docker rm -f nginx-rift-official      # tear the lab down

Come funziona (breve)

Leak (PoolSlip). Un rewrite ^/search/((.*))$ /lookup?$1$2 fa sì che la passata di copia imposti r->args.len oltre il buffer; la pagina /search degradata riflette $args nell'heap adiacente. Dopo un breve warm-up, un puntatore libpcre-cluster (fisso 0xb0ad08 sotto libc) e un puntatore heap si stabilizzano a offset stabili → libc_base e heap_base, nulla di hardcoded.
Write (rift). L'overflow rift può emettere solo byte URL-safe, quindi un indirizzo completo a 48 bit è scrivibile ~0,9 % delle volte sotto ASLR. Invece sovrascriviamo solo i 2 byte bassi di un puntatore di cleanup limit_conn già valido — i byte alti casuali dell'ASLR restano intatti → indipendente da ASLR.
Fire. Il puntatore viene reindirizzato in un ngx_pool_cleanup_t{handler=&system, data=cmd, next=0} spruzzato; chiudere la vittima attiva il cleanup walk di ngx_destroy_pool → system(cmd).

Vedi Writeup per la derivazione completa, le sessioni gdb e i vicoli ciechi/pivot.

Mitigazioni e rilevamento

Patch (aggiorna a 1.30.2 / 1.31.1) — l'unica vera correzione.
La scrittura si attiva solo attraverso un rewrite il cui replacement contiene ? e fa riferimento a una cattura PCRE ($1/$2), o a un pattern con cattura annidata come ^/x/((.*))$ → /y?$1$2. Verifica le configurazioni per questi casi e rielabora il rewrite/set problematico finché non è patchato.
Un $args riflesso (o qualsiasi variabile derivata dalla richiesta rimandata indietro) è ciò che trasforma l'over-read in un info-leak — non riflettere gli argomenti della richiesta verbatim.
Segnali WAF / log: flood di %2B/+ nel percorso URI (GET /search/+++…), 503 da una pagina degradata che riflette un $args lungo, e tempeste di SIGSEGV/respawn dei worker.

Crediti e riferimenti

PoC originali dei componenti: DepthFirstDisclosures/Nginx-Rift (rift).
Advisory del vendor — CVE-2026-42945 (rift) e CVE-2026-9256 (PoolSlip), F5/nginx.
Chaining, tecnica indipendente da ASLR e port a Debian glibc-2.41: questo repo.

Più Popolari

Nginx-chain-Rift-Poolslip