NGINX Rift Detector for CVE-2026-42945

所有するNGINXサーバー向けの読み取り専用Bashチェッカーです。CVE-2026-42945の開示後、運用担当者が次の2つの質問に答えるのに役立ちます:

• このサーバーはまだ、露出したNGINXビルドまたは危険なrewrite設定で稼働していますか?
• チケットを閉じる前に確認が必要な、クラッシュ・長いURI・エンコーディングの兆候がローカルログにありますか?

ここから始める

Ping7リソース

• すべてのGitHubツール: https://ping7.cc/github-tools/
• 完全なセルフチェックガイド: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check/
• CVE修復サービス: https://ping7.cc/cve-repair/
• 修復レポートのサンプル: https://ping7.cc/cve-repair/sample-report/
• リアルタイムCVEアラート: https://t.me/ping7cve

問題報告または修復

検出器がクラッシュした場合、誤検知を報告した場合、安全な防御シグナルを見逃した場合、またはドキュメントの整理が必要な場合は、GitHub issueを開いてください。例は機密情報を含まないものにしてください。

結果が VULNERABLE または SUSPICIOUS の場合、または証拠に本番ドメイン、顧客トラフィック、プライベートログ、クラッシュタイムスタンプ、公開すべきでない設定行が含まれる場合は、Ping7修復を使用してください。

保存すべき証拠

• 検出器の出力とバージョン。
• NGINXのバージョンとパッケージの出所。
• 関連するrewrite設定行（必要に応じてサニタイズ）。
• アクセスログまたはエラーログの最初の不審なタイムスタンプ。
• ログがローテーションされたか、削除されたか、ホスト外に保存されたか。

このリポジトリを利用するケース

• NGINXを直接運用している、リバースプロキシ経由で運用している、またはホスティングコントロールパネルの背後で運用している場合。
• サーバーがrewrite中心の設定を使用しており、パッチ適用の期間が明確に記録されていない場合。
• インシデントチケットに貼り付けられるターミナル結果が必要な場合。
• クリーンアップや侵害レビューの費用を払う前に、最初のチェックを行いたい場合。

クイックスタート

まず検査します:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/nginx-rift-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

リモートのシェルコンテンツをrootで直接実行しないでください。スクリプトをダウンロードし、確認してから、自分が責任を持つサーバー上で実行してください。

チェック内容

実行すべきタイミング

次のようなNGINXサーバーで実行してください:

• rewrite中心の設定を使用している。
• CVE開示後に素早くパッチが適用されなかった。
• 公開リバースプロキシ、CDNオリジン、API、またはWordPressトラフィックを公開している。
• 原因不明のワーカークラッシュや異常に長いリクエストパスが見られる。

出力

スクリプトは次のいずれかを報告します:

• CLEAN: 明らかな露出または悪用の兆候が見つからない。
• VULNERABLE: バージョン/設定シグナルが露出を示している。
• SUSPICIOUS: ログまたはランタイムの指標を手動で確認する必要がある。

出力例

NGINX Rift CVE-2026-42945 Detector

Checks:
- NGINX version
- rewrite configuration
- access and error logs
- Linux ASLR
- worker user

Result: SUSPICIOUS (0 critical, 2 warnings)
Next: review rewrite rules and error-log crash entries before closing the ticket.
Guide: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check

終了ステータス

このリリースは対話型トリアージ向けに設計されています。端末に CLEAN、VULNERABLE、または SUSPICIOUS を出力し、シェルランタイム自体が失敗しない限り通常は 0 で終了します。CIスタイルの終了コードが必要な場合は、出力ステータスを独自のデプロイメントパイプラインでラップしてください。

制限事項

• 悪用が発生したかどうかを証明することはできません。
• 現在のユーザーが利用できるローカルファイルとログのみを確認します。
• ローテーション、削除、またはホスト外のログは、関連する期間を隠す可能性があります。
• ベンダーのバックポートにより、パッケージバージョンが実際のパッチ適用済みビルドより古く見えることがあります。

修正手順

1. NGINXをベンダーの修正済みビルドにアップグレードします。
2. 安全でないrewriteキャプチャパターンを、より安全な名前付きキャプチャに置き換えます。
3. ASLRを有効に保ちます。
4. 露出期間のアクセスログとエラーログを確認します。
5. NGINXを再起動し、検出器がクリーンと報告することを確認します。

修復の引き継ぎ

結果が VULNERABLE または SUSPICIOUS の場合は、出力を保存して次の内容を送信してください:

Domain or server:
NGINX version:
CVE: CVE-2026-42945
Detector result: CLEAN / VULNERABLE / SUSPICIOUS
First suspicious timestamp:
Symptoms: worker crash, long URI logs, redirect, config change, or scanner result
Logs still available: yes / no

最初のメッセージにパスワードを送信しないでください。症状、タイムスタンプ、スクリーンショット、サニタイズ済みのログ断片を送ってください。

実践的な支援が必要な場合: https://ping7.cc/cve-repair

貢献

新しい防御シグナル、誤検知、または誤って報告されたディストリビューションのバージョンがある場合は、issueを開いてください。NGINXバージョン、OSファミリー、サニタイズ済みの設定行、検出結果を含めてください。生の顧客ログ、シークレット、攻撃文字列を投稿しないでください。

防御目的の範囲

このプロジェクトは防御専用です。所有している、または監査を許可されているシステムでのみ実行してください。

ペイロードはありません。広範なスキャンはありません。悪用手順はありません。

ライセンス

MIT