CVE-2026-42530 — 安全確認スキャナー

NGINX HTTP/3 (QUIC) use-after-free に対する非破壊的マススキャナー
バグを引き起こすことなく、どのホストが露出しているかを把握します。

⚠️ 免責事項

このツールは許可されたセキュリティテスト専用です。自身のインフラストラクチャ、または明示的な書面による許可を得たシステムにのみ使用してください。読み取り専用のフィンガープリントを実行し、脆弱性を悪用しません。スコープ内にとどまり、適用される法律と責任ある開示の原則を遵守する責任はあなたにあります。著者は誤用に対する一切の責任を負いません。

🔍 脆弱性について

CVE-2026-42530 は、NGINX の ngx_http_v3_module における use-after-free (CWE-416) です。NGINX が HTTP/3 を提供するように設定されている場合、リモートの認証されていない攻撃者が細工された HTTP/3 セッション内で QPACK エンコーダストリームを再開し、ワーカープロセスが解放済みメモリを参照する原因となる可能性があります。直接的な影響はワーカーのクラッシュ/再起動（サービス拒否）です。ASLR が無効化またはバイパス可能なホストでは、リモートコード実行にエスカレートする可能性があります。

重要ポイント: この欠陥は HTTP/3 (QUIC) が有効な場合のみ 到達可能です。デフォルトでは有効ではありません。TCP 上で HTTP/1.1 または HTTP/2 のみを提供するホストは、この特定のベクターの影響を受けません。

影響を受けるバージョンと修正済みバージョン

✨ このスキャナーの機能

実際の HTTP/3 接続を開き、単一の HEAD / リクエストを送信し、Server ヘッダーを読み取ります。それに基づいて各ターゲットを分類します。重要なのは、到達可能だがバージョンが隠されている ホストを偽の「クリーン」ではなく 手動レビューが必要 として扱うことです。なぜなら、QUIC が到達可能であることが CVE の前提条件だからです。

• 🛡️ 安全設計 — 良性のプローブのみ。QPACK ストリームを再開せず、細工された悪意のあるセッションを送信しません。
• 📋 大量スキャン — ファイルまたは標準入力からターゲットリストを入力。
• ⚡ 同時実行 — 非同期 (asyncio) エンジンが、単一の調整可能なバウンドで数百の QUIC ハンドシェイクを処理します。
• 🎯 実用的な分類 — 単純な真偽ではなく 6 つの明確なステータス。
• 📦 レポート対応出力 — カラー化されたコンソールサマリーと、エンゲージメント文書用の CSV/JSON。
• 🚦 CI フレンドリー — 脆弱なホストが 1 つでもあると非ゼロ終了コード。

ステータスの意味

📦 インストール

Python 3.11+ が必要（asyncio.timeout を使用）。

git clone https://github.com/renzi25031469/CVE-2026-42530-scanner.git
cd CVE-2026-42530-scanner
pip install aioquic

ヒント: 仮想環境を使用する — python3 -m venv .venv && source .venv/bin/activate。

🚀 使用方法

# 単一ホスト
python3 cve-2026-42530-scanner.py example.com

# ファイルから複数ホスト、100同時、CSV保存
python3 cve-2026-42530-scanner.py -f targets.txt -c 100 --csv results.csv

# 標準入力からターゲットをパイプ、JSON出力
cat hosts.txt | python3 cve-2026-42530-scanner.py -f - --json results.json

# カスタムポートとタイムアウト
python3 cve-2026-42530-scanner.py target.internal -p 8443 -t 5

ターゲットファイル形式

1行に1ホスト。ポート、スキーム、パス、コメントは自動的に処理されます。

# production edge
edge01.example.com
edge02.example.com:8443
https://api.example.com/

# staging
10.0.5.21

オプション

出力例

[*] CVE-2026-42530 safe-check — 4 target(s), concurrency=100, timeout=10s

======================================================================
CVE-2026-42530 SAFE-CHECK RESULTS
======================================================================
[VULNERABLE              ] edge01.example.com:443  (Server: nginx/1.31.1)
      -> Vulnerable NGINX version over HTTP/3. Upgrade to nginx/1.31.2 or later.
[HTTP3_VERSION_HIDDEN    ] api.example.com:443
      -> HTTP/3 reachable but Server header is masked. Verify the NGINX version manually.
[LIKELY_PATCHED          ] edge02.example.com:8443  (Server: nginx/1.31.2)
[NO_HTTP3                ] 10.0.5.21:443
----------------------------------------------------------------------
Summary: VULNERABLE=1 | HTTP3_VERSION_HIDDEN=1 | LIKELY_PATCHED=1 | NO_HTTP3=1

[!] 1 host(s) appear VULNERABLE. Mitigation: upgrade to nginx/1.31.2 or later,
    or remove 'quic' from all 'listen' directives.
======================================================================

🩹 修復方法

1. パッチ — NGINX Open Source を 1.31.2 以降 にアップグレードする（または NGINX Plus 向けの F5 アドバイザリを適用する）。
2. 一時的な緩和策 — すぐにパッチを適用できない場合、すべての listen ディレクティブから quic パラメータを削除し、http3 on; を削除して HTTP/3 を無効にし、NGINX をリロードします。これにより脆弱なコードパスが完全に除去されます。
3. 多層防御 — ASLR を有効に保つ（/proc/sys/kernel/randomize_va_space = 2）。これは強化レイヤーとして扱い、パッチの代わりにはなりません。

⚙️ 同時実行について

aioquic は非同期であるため、このスキャナーは OS スレッドではなく asyncio.Semaphore を使用します。ネットワーク I/O バウンドの作業（数百の QUIC ハンドシェイクがワイヤ上で待機している）では、単一のイベントループはスレッドプールよりもはるかに低いオーバーヘッドで拡張でき、同じ「一度に多数のホストをスキャン」動作を実現します。-c でバウンドを調整します。

🙏 クレジット

• オリジナル安全確認作者: Ashraf Zaryouh — @0xBlackash · 元のリポジトリ
• 翻案・拡張: Renzi — 複数ターゲットファイル/標準入力、大量スキャンのためのバウンド付き非同期同時実行、HTTP/3 イベント処理の修正、構造化された結果分類、CSV/JSON レポート。

元の開示でクレジットされた研究者の皆様の協調的な報告に感謝します。

📄 ライセンス

MIT ライセンスの下で公開されています。LICENSE を参照してください。

_{防御者と許可されたレッドチームのために作られました。責任を持ってスキャンしてください。🔐}