Resumo da vulnerabilidade

A CVE-2025-23419 afeta cenários onde múltiplos server blocks do NGINX compartilham o mesmo IP e porta, e o ambiente utiliza autenticação por certificado cliente, também conhecida como mTLS.

Em determinadas configurações, um atacante poderia reutilizar uma sessão TLS previamente estabelecida para contornar exigências de autenticação por certificado cliente em outro contexto de virtual host.

A vulnerabilidade está relacionada ao uso de TLS session resumption, especialmente quando ssl_session_cache ou ssl_session_tickets estão habilitados.

Na prática, a exposição depende da combinação entre versão vulnerável, uso de TLS 1.3, configuração de sessão TLS, múltiplos virtual hosts e aplicação de mTLS em partes específicas do ambiente.

Versões afetadas

De acordo com advisories públicos, o problema afeta:

Quando as seguintes condições estão presentes:

A correção foi publicada nas versões:

Portanto, uma versão como:

deve ser tratada como potencialmente vulnerável, desde que o cenário de configuração também seja compatível com a falha.

Importante: a versão vulnerável, sozinha, não confirma exploração. Ela indica necessidade de validação da configuração.

Script disponível

O que o script faz

O script executa validações seguras para levantar indícios da vulnerabilidade:

• tenta identificar o header Server;
• verifica se o serviço parece ser NGINX;
• extrai a versão do NGINX quando exposta;
• compara a versão com o intervalo potencialmente vulnerável;
• tenta inferir se o endpoint exige mTLS;
• verifica indícios de TLS session resumption;
• testa SNI/Host aleatório para identificar possível vhost/default sem mTLS no mesmo IP e porta;
• retorna uma saída simples indicando POSSIVEL ou NAO_INDICADO.

O que o script não faz

Este script não explora a vulnerabilidade.

Ele não tenta:

• burlar autenticação mTLS;
• acessar área protegida;
• usar certificado cliente válido;
• reutilizar sessão entre diferentes vhosts de forma ofensiva;
• causar indisponibilidade;
• realizar brute force;
• modificar dados no ambiente.

A proposta é apenas levantar indícios técnicos para apoiar triagem e validação defensiva.

Cenário ideal para uso

Use este script quando houver um ou mais dos seguintes indícios:

Exemplos de alvos adequados:

Uso do script

Exemplo básico

Exemplo com saída detalhada

Exemplo com saída em JSON

Exemplo alterando timeout

Interpretação dos resultados

Resultado POSSIVEL

Indica que o script encontrou indícios compatíveis com possível exposição à CVE-2025-23419.

Isso não confirma exploração. Significa que o ambiente merece análise manual da configuração NGINX e validação com o time responsável.

Exemplo de saída detalhada:

Esses dados ajudam a entender por que o endpoint foi classificado como possível exposição.

Resultado NAO_INDICADO

Indica que o script não encontrou indícios suficientes para apontar possível exposição naquele endpoint.

Isso não garante ausência absoluta da vulnerabilidade, principalmente se:

• o header Server estiver oculto;
• a versão do NGINX não for exposta;
• o mTLS estiver em outro virtual host;
• o balanceador/CDN estiver mascarando o NGINX real;
• a validação estiver sendo feita no endpoint errado;
• a configuração real do NGINX não puder ser inferida externamente.

Campos ajustáveis no script

Os principais pontos que podem ser ajustados são:

Essa lista representa códigos HTTP que podem indicar falha relacionada a certificado cliente ausente ou inválido.

Também é possível ajustar o timeout pela linha de comando:

Requisitos

Dependências

O script utiliza apenas bibliotecas padrão do Python.

Dependências principais:

Não é necessário instalar bibliotecas externas via pip.

Recomendações de mitigação

Atualize o NGINX para uma versão corrigida, preferencialmente 1.26.3, 1.27.4 ou superior, conforme o canal utilizado.

Revise a configuração de server blocks que compartilham o mesmo IP e porta, especialmente quando houver mTLS em apenas parte dos virtual hosts.

Avalie o uso de:

Também é recomendado isolar contextos que exigem certificado cliente e validar se a autenticação mTLS está sendo aplicada no virtual host correto.

Além disso, revise configurações em proxies, gateways, balanceadores, ingress controllers e CDNs, pois o componente que termina TLS pode não ser o mesmo que responde pela aplicação final.

Referências

Aviso legal

Este script deve ser utilizado apenas em ambientes autorizados.

A finalidade é apoiar triagem, validação segura, pentest autorizado, análise defensiva e confirmação de exposição de configuração.

O uso contra sistemas sem autorização é proibido.