CVE-2026-42945 (NGINX Rift) — 방어용 스캐너

NGINX Open Source, NGINX Plus 또는 NGINX 기반 인그레스/컨트롤러를 운영하는 조직은 CVE-2026-42945의 영향을 받는지 확인하고, 익스플로잇 시도가 프로덕션 경계에 도달하기 전에 패치하거나 재구성해야 합니다.

이 저장소는 귀하가 소유하거나 테스트가 허가된 시스템에서 승인된 방어적 사용을 위한 읽기 전용, 비익스플로잇 스캐너를 제공합니다.

취약점 개요

익스플로잇에는 특정 재작성 구성이 필요합니다:

1. rewrite 지시문이 대체 문자열에 이름 없는 PCRE 캡처($1, $2, …)를 사용해야 함
2. 대체 문자열에 **?**가 포함되어야 함
3. 동일한 server/location 범위 내의 다른 rewrite, if 또는 set이 해당 캡처를 사용해야 함

영향:

• DoS(워커 충돌)가 가장 현실적인 결과이며 실제 환경에서 익스플로잇되고 있습니다.
• RCE는 더 어렵고 일반적으로 호스트에서 ASLR이 비활성화되어 있어야 합니다.

이 스캐너의 기능

이 스캐너는 제작된 익스플로잇 요청을 보내거나 워커를 충돌시키려 시도하지 않습니다.

빠른 시작

cd nginx-cve-2026-42945
chmod +x scan_nginx_rift.py

# Best: run on each NGINX host with sudo
sudo python3 scan_nginx_rift.py --local

# Or scan a full config dump
sudo nginx -T 2>&1 | tee /tmp/nginx-full.txt
python3 scan_nginx_rift.py --local --config /tmp/nginx-full.txt

# Passive remote banner check (version only)
python3 scan_nginx_rift.py --url https://your-site.example/

# JSON for automation
python3 scan_nginx_rift.py --local --json --fail-on high

위험이 높음(HIGH) 또는 **심각(CRITICAL)**인 경우 종료 코드 1이 반환됩니다(CI 게이트 조정을 위해 --fail-on 사용).

결과 해석

수정 조치 (요약)

1. 업그레이드: NGINX 1.30.1 / 1.31.0+ 또는 OS/공급업체 보안 패키지로 업그레이드하십시오.

2. 워커 재시작: 업그레이드 후 reload가 아닌 systemctl restart nginx로 워커를 재시작하십시오.

3. 전체 구성 감사: sudo nginx -T를 실행하고 $1/$2 및 ?가 포함된 재작성 규칙을 검색하십시오.

4. 임시 완화: $1, $2 대신 이름 있는 캡처를 사용하십시오:

   root@kitploit:~

   # Vulnerable pattern (simplified)
   rewrite ^/api/(.*)$ /internal?migrated=true;
   set $original_path $1;
   
   # Safer pattern
   rewrite ^/api/(?<path>.*)$ /internal?migrated=true;
   set $original_path $path;
   

5. Linux에서 ASLR이 활성화된 상태로 유지되는지 확인하십시오(randomize_va_space=2).

6. Kubernetes 인그레스, Helm 차트 및 생성된 구성을 검토하십시오 — /etc/nginx/nginx.conf만 검토하지 마십시오.

참고 자료

• NGINX 보안 권고
• NVD — CVE-2026-42945
• depthfirst — NGINX Rift
• F5 권고: K000161019

법적 고지

귀하가 평가 권한이 있는 인프라에서만 사용하십시오. 권한 없는 스캔은 정책이나 법률을 위반할 수 있습니다.