CVE-2026-42530 — Safe-Check Scanner

NGINX HTTP/3(QUIC) use-after-free 취약점을 위한 비파괴적 대량 스캐너
버그를 절대 트리거하지 않고 어떤 호스트가 노출되었는지 파악하세요.

⚠️ 고지 사항

이 도구는 승인된 보안 테스트 전용입니다. 즉, 본인 소유의 인프라 또는 서면으로 명시적인 허가를 받은 시스템만 대상으로 해야 합니다. 이 도구는 읽기 전용 핑거프린팅을 수행하며 취약점을 악용하지 않습니다. 테스트 범위를 준수하고 관련 법률 및 책임 있는 공개(responsible disclosure) 원칙을 따를 책임은 사용자에게 있습니다. 작성자는 오용으로 인한 어떠한 책임도 지지 않습니다.

🔍 취약점 개요

CVE-2026-42530은 NGINX ngx_http_v3_module에서 발생하는 use-after-free(CWE-416) 취약점입니다. NGINX가 HTTP/3을 제공하도록 구성된 경우, 원격의 인증되지 않은 공격자가 조작된 HTTP/3 세션 내에서 QPACK 인코더 스트림을 다시 열어 워커 프로세스가 해제된 메모리를 참조하도록 만들 수 있습니다. 즉각적인 영향은 워커 크래시/재시작(서비스 거부)이며, ASLR이 비활성화되었거나 우회할 수 있는 호스트에서는 원격 코드 실행으로 이어질 수 있습니다.

핵심: 이 결함은 HTTP/3(QUIC)이 활성화된 경우에만 도달할 수 있으며 기본적으로 활성화되어 있지 않습니다. TCP를 통해 HTTP/1.1 또는 HTTP/2만 제공하는 호스트는 이 특정 공격 벡터의 영향을 받지 않습니다.

영향받는 버전 및 수정된 버전

✨ 이 스캐너가 하는 일

실제 HTTP/3 연결을 열고 단일 HEAD / 요청을 전송한 후 Server 헤더를 읽어 옵니다. 이를 통해 각 대상을 분류하며, 핵심적으로 연결은 가능하지만 버전이 숨겨진 호스트는 잘못된 "클린" 상태 대신 수동 검토 필요로 처리합니다. QUIC에 연결 가능한 상태가 이 CVE의 전제 조건이기 때문입니다.

• 🛡️ 안전한 설계 — 무해한 프로브만 전송하며 QPACK 스트림을 다시 열거나 조작된/악의적인 세션을 절대 전송하지 않습니다.
• 📋 대량 스캔 — 파일 또는 stdin에서 대상 목록을 읽습니다.
• ⚡ 동시 처리 — 비동기(asyncio) 엔진이 단일하게 조정 가능한 상한으로 수백 개의 QUIC 핸드셰이크를 동시에 처리합니다.
• 🎯 실질적인 분류 — 단순한 true/false 대신 6가지 명확한 상태를 제공합니다.
• 📦 보고서에 적합한 출력 — 색상화된 콘솔 요약과 함께 CSV / JSON으로 엔게이지먼트 문서화를 지원합니다.
• 🚦 CI 친화적 — 취약한 호스트가 하나라도 있으면 0이 아닌 종료 코드를 반환합니다.

상태 의미

📦 설치

Python 3.11+ 필요(asyncio.timeout 사용).

git clone https://github.com/renzi25031469/CVE-2026-42530-scanner.git
cd CVE-2026-42530-scanner
pip install aioquic

팁: 가상 환경을 사용하세요 — python3 -m venv .venv && source .venv/bin/activate.

🚀 사용법

# Single host
python3 cve-2026-42530-scanner.py example.com

# Many hosts from a file, 100 in parallel, save a CSV
python3 cve-2026-42530-scanner.py -f targets.txt -c 100 --csv results.csv

# Pipe targets from stdin and export JSON
cat hosts.txt | python3 cve-2026-42530-scanner.py -f - --json results.json

# Custom port and timeout
python3 cve-2026-42530-scanner.py target.internal -p 8443 -t 5

대상 파일 형식

한 줄에 하나의 호스트. 포트, 스킴, 경로 및 주석은 자동으로 처리됩니다:

# production edge
edge01.example.com
edge02.example.com:8443
https://api.example.com/

# staging
10.0.5.21

옵션

출력 예시

[*] CVE-2026-42530 safe-check — 4 target(s), concurrency=100, timeout=10s

======================================================================
CVE-2026-42530 SAFE-CHECK RESULTS
======================================================================
[VULNERABLE              ] edge01.example.com:443  (Server: nginx/1.31.1)
      -> Vulnerable NGINX version over HTTP/3. Upgrade to nginx/1.31.2 or later.
[HTTP3_VERSION_HIDDEN    ] api.example.com:443
      -> HTTP/3 reachable but Server header is masked. Verify the NGINX version manually.
[LIKELY_PATCHED          ] edge02.example.com:8443  (Server: nginx/1.31.2)
[NO_HTTP3                ] 10.0.5.21:443
----------------------------------------------------------------------
Summary: VULNERABLE=1 | HTTP3_VERSION_HIDDEN=1 | LIKELY_PATCHED=1 | NO_HTTP3=1

[!] 1 host(s) appear VULNERABLE. Mitigation: upgrade to nginx/1.31.2 or later,
    or remove 'quic' from all 'listen' directives.
======================================================================

🩹 대응 조치

1. 패치 — NGINX 오픈 소스를 **1.31.2+**로 업그레이드합니다(또는 NGINX Plus용 F5 권고를 적용).
2. 임시 완화 조치 — 즉시 패치할 수 없다면 모든 listen 지시문에서 quic 매개변수를 제거하고 http3 on;을 삭제한 후 NGINX를 리로드하여 HTTP/3을 비활성화합니다. 이렇게 하면 취약한 코드 경로가 완전히 제거됩니다.
3. 심층 방어 — ASLR을 활성화된 상태로 유지합니다(/proc/sys/kernel/randomize_va_space = 2). 이는 강화 계층으로 간주해야 하며 패치를 대체하는 것이 아닙니다.

⚙️ 동시 처리 참고 사항

aioquic은 비동기 방식이므로 이 스캐너는 OS 스레드 대신 asyncio.Semaphore를 사용합니다. 네트워크 I/O 바운드 작업(네트워크에서 수백 개의 QUIC 핸드셰이크 대기)에서는 단일 이벤트 루프가 스레드 풀보다 훨씬 적은 오버헤드로 더 높은 확장성을 제공하면서도 "여러 호스트를 한 번에 스캔"하는 동일한 동작을 보장합니다. 상한은 -c로 조정하세요.

🙏 크레딧

• 원본 safe-check 저자: Ashraf Zaryouh — @0xBlackash · 원본 리포지토리
• 각색 및 확장: Renzi — 다중 대상 파일/stdin 입력, 대량 스캔을 위한 제한된 비동기 동시 처리, HTTP/3 이벤트 처리 수정, 구조화된 결과 분류 및 CSV/JSON 보고.

조정된 공개(coordinated disclosure)를 위해 원본 공개 자료에서 언급된 연구자들에게 감사드립니다.

📄 라이선스

MIT License로 배포됩니다. LICENSE를 참조하세요.

_{방어자와 승인된 레드 팀을 위해 제작되었습니다. 책임감 있게 스캔하세요. 🔐}