脆弱性の概要

CVE-2025-23419 は、NGINX の複数の server blocks が同一 IP とポートを共有し、環境がクライアント証明書認証 (いわゆる mTLS) を使用しているシナリオに影響を与えます。

特定の構成では、攻撃者が以前に確立された TLS セッションを再利用して、別の仮想ホストコンテキストでのクライアント証明書認証要件を回避する可能性があります。

この脆弱性は、特に ssl_session_cache または ssl_session_tickets が有効になっている場合の TLS session resumption の使用に関連しています。

実際には、露出は、脆弱なバージョン、TLS 1.3 の使用、TLS セッション構成、複数の仮想ホスト、および環境の特定の部分での mTLS の適用の組み合わせに依存します。

影響を受けるバージョン

公開されているアドバイザリによると、問題は以下に影響します：

次の条件が存在する場合：

修正は以下のバージョンで公開されました：

したがって、次のようなバージョンは：

潜在的に脆弱として扱われるべきであり、構成シナリオも脆弱性と互換性がある場合に限ります。

重要：単独の脆弱なバージョンは悪用を確認するものではありません。構成の検証の必要性を示します。

利用可能なスクリプト

スクリプトの機能

スクリプトは、脆弱性の兆候を収集するために安全な検証を実行します：

• Server ヘッダーの特定を試みます。
• サービスが NGINX のように見えるかどうかを確認します。
• 露出している場合、NGINX のバージョンを抽出します。
• バージョンを潜在的に脆弱な範囲と比較します。
• エンドポイントが mTLS を必要とするかどうかを推測しようとします。
• TLS session resumption の兆候を確認します。
• ランダムな SNI/ホストをテストして、同じ IP とポート上で mTLS がない可能性のある vhost/デフォルトを特定します。
• POSSIVEL または NAO_INDICADO を示す単純な出力を返します。

スクリプトが行わないこと

このスクリプトは脆弱性を悪用しません。

以下のことは試みません：

• mTLS 認証の回避
• 保護された領域へのアクセス
• 有効なクライアント証明書の使用
• 異なる vhost 間での攻撃的なセッション再利用
• サービス不能の引き起こし
• ブルートフォース攻撃
• 環境内のデータの変更

目的は、トリアージと防御的検証をサポートするための技術的な兆候を収集することのみです。

理想的な使用シナリオ

次の兆候のうち 1 つ以上がある場合にこのスクリプトを使用してください：

適切なターゲットの例：

スクリプトの使用方法

基本的な例

詳細出力付きの例

JSON 出力付きの例

タイムアウトを変更した例

結果の解釈

POSSIVEL の結果

スクリプトが CVE-2025-23419 への潜在的な露出と互換性のある兆候を検出したことを示します。

これは悪用を確認するものではありません。環境が NGINX 構成の手動分析と担当チームによる検証に値することを意味します。

詳細出力の例：

これらのデータは、エンドポイントが潜在的な露出として分類された理由を理解するのに役立ちます。

NAO_INDICADO の結果

スクリプトがそのエンドポイントで潜在的な露出を示す十分な兆候を検出しなかったことを示します。

これは脆弱性が絶対に存在しないことを保証するものではありません。特に以下の場合：

• Server ヘッダーが非表示
• NGINX のバージョンが公開されていない
• mTLS が別の仮想ホストにある
• ロードバランサー/CDN が実際の NGINX を隠している
• 検証が間違ったエンドポイントで行われている
• 実際の NGINX 構成が外部から推測できない

スクリプト内の調整可能なフィールド

主な調整可能なポイントは次のとおりです：

このリストは、クライアント証明書がないか無効であることに関連するエラーを示す可能性のある HTTP コードを表します。

コマンドラインから timeout を調整することもできます：

必要条件

依存関係

スクリプトは Python の標準ライブラリのみを使用します。

主な依存関係：

pip による外部ライブラリのインストールは必要ありません。

軽減策の推奨事項

NGINX を修正済みバージョン（できれば 1.26.3、1.27.4 以上）に更新してください。使用中のチャネルに従ってください。

同一 IP とポートを共有する server blocks の構成を確認してください。特に、仮想ホストの一部のみで mTLS が使用されている場合。

以下を評価してください：

また、クライアント証明書が必要なコンテキストを分離し、mTLS 認証が適切な仮想ホストで適用されていることを確認することをお勧めします。

さらに、プロキシ、ゲートウェイ、ロードバランサー、イングレスコントローラー、CDN の構成も確認してください。TLS を終端するコンポーネントが最終的なアプリケーション応答を行うものと同じでない可能性があるためです。

参考文献

法的免責事項

このスクリプトは許可された環境でのみ使用してください。

目的は、トリアージ、安全な検証、許可されたペネトレーションテスト、防御的分析、および構成露出の確認を支援することです。

許可なくシステムに対して使用することは禁止されています。