CVE-2026-42945 Ferramenta de Verificação de Segurança

Esta é uma ferramenta de verificação estática CVE-2026-42945 voltada para defesa e varredura de rede interna, usada para verificar se as configurações relacionadas ao ngx_http_rewrite_module do NGINX contêm combinações de rewrite de alto risco.

Este projeto não fornece código de exploração de vulnerabilidade, não envia requisições HTTP maliciosas e não tenta disparar travamentos ou execução remota de código. Ele apenas lê arquivos de configuração locais do NGINX para ajudar equipes de segurança a determinar se é necessário atualizar ou corrigir as configurações.

Contexto da Vulnerabilidade

CVE-2026-42945 é uma vulnerabilidade de estouro de buffer de heap no ngx_http_rewrite_module do NGINX Open Source e NGINX Plus.

Os cenários de risco descritos nos anúncios públicos incluem aproximadamente:

• existência da diretiva rewrite;
• seguida logo por diretivas rewrite, if ou set;
• uso de referências de captura PCRE sem nome, como $1, $2;
• string de substituição rewrite contendo ?.

As versões corrigidas do NGINX Open Source incluem 1.30.1, 1.31.0 e posteriores. Para o NGINX Plus, consulte as versões corrigidas nos anúncios do fornecedor.

Referências:

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-42945
• Anúncio F5: https://my.f5.com/manage/s/article/K000161019
• Espelho oss-security: https://seclists.org/oss-sec/2026/q2/519

Requisitos de Instalação

Apenas Python 3 é necessário, sem dependências de terceiros.

python3 --version

Modo de Uso

Recomenda-se exportar primeiro a configuração completa renderizada do NGINX:

nginx -T > nginx-rendered.conf
python3 cve_2026_42945_checker.py nginx-rendered.conf

Também é possível escanear diretamente um diretório de configuração:

python3 cve_2026_42945_checker.py /etc/nginx

Saída JSON:

python3 cve_2026_42945_checker.py --json nginx-rendered.conf

Se a exportação da configuração não incluir informações da versão do NGINX, você pode especificar manualmente a versão para auxiliar na avaliação:

python3 cve_2026_42945_checker.py --json --nginx-version 1.30.0 nginx-rendered.conf

Saída SARIF, facilitando a importação para GitHub code scanning ou plataformas de segurança internas:

python3 cve_2026_42945_checker.py --sarif nginx-rendered.conf > cve-2026-42945.sarif

Códigos de Saída

• 0: Nenhum padrão de configuração de alto risco encontrado.
• 1: Pelo menos um padrão de configuração de alto risco encontrado.
• 2: Falha ao ler o arquivo de entrada ou caminho.

Descrição da Saída

Os campos importantes nos resultados da verificação incluem:

• versions: Versões do NGINX identificadas a partir da configuração ou parâmetros e resultados da avaliação.
• findings: Locais de configuração de risco detectados, motivos e evidências.
• summary: Número de arquivos escaneados, número de descobertas e nível de risco mais alto.

Exemplos de resultados de risco indicarão evidências como:

rewrite ... ?$1; -> set ... $1;

Isso indica que essa configuração é semelhante às condições de risco descritas nos anúncios públicos e precisa ser revisada prioritariamente.

Recomendações de Correção

Priorize a atualização do NGINX para versões corrigidas:

• NGINX Open Source 1.30.1, 1.31.0 ou versões posteriores.
• NGINX Plus use as versões corrigidas nos anúncios do fornecedor.

Também é recomendado revisar as regras de rewrite:

• Evite ao máximo depender de referências de captura sem nome como $1, $2.
• Priorize o uso de capturas nomeadas.
• Simplifique combinações consecutivas de rewrite, if, set.
• Antes de publicar, escaneie a configuração completa exportada com nginx -T.

Limitações

Esta ferramenta é um detector de configuração estática, não um verificador completo de vulnerabilidades. Ela pode não cobrir:

• Configurações geradas dinamicamente em tempo de execução.
• Arquivos include não incluídos no caminho de escaneamento.
• Patches de backport do fornecedor.
• Diferenças relacionadas ao tráfego real, parâmetros de compilação e ambiente de execução.

Utilize-a como ferramenta auxiliar para varredura de rede interna e auditoria de configuração, não como único critério de avaliação de vulnerabilidade.

Desenvolvimento

Executar testes:

python -m pytest

O repositório já inclui um workflow do GitHub Actions que executará testes automaticamente em push e pull request.