CVE-2026-42530 — Scanner Safe-Check

Scanner em massa não destrutivo para o use-after-free do NGINX HTTP/3 (QUIC)
Inventarie quais dos seus hosts estão expostos — sem nunca acionar a falha.

⚠️ Aviso legal

Esta ferramenta destina-se somente a testes de segurança autorizados — na sua própria infraestrutura ou em sistemas para os quais você tenha permissão explícita por escrito para avaliar. Ela realiza uma impressão digital somente leitura e não explora a vulnerabilidade. Você é responsável por permanecer dentro do escopo e por cumprir a legislação aplicável e os princípios de divulgação responsável. Os autores não aceitam qualquer responsabilidade por uso indevido.

🔍 Sobre a vulnerabilidade

CVE-2026-42530 é um use-after-free (CWE-416) no ngx_http_v3_module do NGINX. Quando o NGINX está configurado para servir HTTP/3, um atacante remoto não autenticado pode reabrir um fluxo de codificador QPACK dentro de uma sessão HTTP/3 maliciosa, fazendo com que um processo worker referencie memória já liberada. O impacto imediato é a queda/reinício do worker (negação de serviço); em hosts onde o ASLR está desativado ou pode ser contornado, pode escalar para execução remota de código.

Ponto-chave: a falha só é alcançável quando HTTP/3 (QUIC) está habilitado — ela não vem ativada por padrão. Hosts que servem apenas HTTP/1.1 ou HTTP/2 sobre TCP não são afetados por este vetor específico.

Versões afetadas e corrigidas

✨ O que este scanner faz

Ele abre uma conexão HTTP/3 real, envia uma única solicitação HEAD / e lê o cabeçalho Server na resposta. A partir disso, classifica cada alvo — e, crucialmente, trata hosts alcançáveis, porém com versão oculta como exigem revisão manual, em vez de um falso "limpo", pois o QUIC acessível é a pré-condição para a CVE.

• 🛡️ Seguro por concepção — apenas uma sonda benigna; nunca reabre um fluxo QPACK, nunca envia uma sessão maliciosa/forjada.
• 📋 Varredura em massa — alimente-o com uma lista de alvos a partir de um arquivo ou do stdin.
• ⚡ Concorrente — o motor assíncrono (asyncio) lida com centenas de handshakes QUIC em voo com um único limite ajustável.
• 🎯 Classificação acionável — seis status claros em vez de um simples verdadeiro/falso.
• 📦 Saída pronta para relatórios — resumo de console colorido além de CSV / JSON para documentação de engajamento.
• 🚦 Adequado a CI — sai com código diferente de zero quando qualquer host está vulnerável.

Significado dos status

📦 Instalação

Requer Python 3.11+ (usa asyncio.timeout).

git clone https://github.com/renzi25031469/CVE-2026-42530-scanner.git
cd CVE-2026-42530-scanner
pip install aioquic

Dica: use um ambiente virtual — python3 -m venv .venv && source .venv/bin/activate.

🚀 Uso

# Host único
python3 cve-2026-42530-scanner.py example.com

# Muitos hosts a partir de um arquivo, 100 em paralelo, salvar um CSV
python3 cve-2026-42530-scanner.py -f targets.txt -c 100 --csv results.csv

# Enviar alvos pelo stdin e exportar JSON
cat hosts.txt | python3 cve-2026-42530-scanner.py -f - --json results.json

# Porta e tempo limite personalizados
python3 cve-2026-42530-scanner.py target.internal -p 8443 -t 5

Formato do arquivo de alvos

Um host por linha. Portas, esquemas, caminhos e comentários são tratados automaticamente:

# produção edge
edge01.example.com
edge02.example.com:8443
https://api.example.com/

# staging
10.0.5.21

Opções

Exemplo de saída

[*] CVE-2026-42530 safe-check — 4 alvo(s), concorrência=100, tempo limite=10s

======================================================================
RESULTADOS DO SAFE-CHECK CVE-2026-42530
======================================================================
[VULNERABLE              ] edge01.example.com:443  (Server: nginx/1.31.1)
      -> Versão NGINX vulnerável via HTTP/3. Atualize para nginx/1.31.2 ou posterior.
[HTTP3_VERSION_HIDDEN    ] api.example.com:443
      -> HTTP/3 acessível, mas o cabeçalho Server está mascarado. Verifique a versão do NGINX manualmente.
[LIKELY_PATCHED          ] edge02.example.com:8443  (Server: nginx/1.31.2)
[NO_HTTP3                ] 10.0.5.21:443
----------------------------------------------------------------------
Resumo: VULNERABLE=1 | HTTP3_VERSION_HIDDEN=1 | LIKELY_PATCHED=1 | NO_HTTP3=1

[!] 1 host(s) parece(m) VULNERABLE. Mitigação: atualize para nginx/1.31.2 ou posterior,
    ou remova 'quic' de todas as diretivas 'listen'.
======================================================================

🩹 Remediação

1. Corrija — atualize o NGINX Open Source para 1.31.2+ (ou aplique o aviso da F5 para NGINX Plus).
2. Mitigação temporária — se não puder corrigir imediatamente, desabilite HTTP/3 removendo o parâmetro quic de todas as diretivas listen e removendo http3 on;, depois recarregue o NGINX. Isso elimina completamente o caminho de código vulnerável.
3. Defesa em profundidade — mantenha o ASLR habilitado (/proc/sys/kernel/randomize_va_space = 2). Trate isso como uma camada de endurecimento, não como substituto da correção.

⚙️ Uma nota sobre concorrência

O aioquic é assíncrono, portanto este scanner usa um asyncio.Semaphore em vez de threads do sistema operacional. Para trabalho limitado por I/O de rede — centenas de handshakes QUIC aguardando na rede — um único loop de eventos escala ainda mais com muito menos sobrecarga do que um pool de threads, oferecendo ao mesmo tempo o comportamento de "escanear muitos hosts de uma vez". Ajuste o limite com -c.

🙏 Créditos

• Autor original do safe-check: Ashraf Zaryouh — @0xBlackash · repositório original
• Adaptado e estendido por: Renzi — entrada multi-alvo por arquivo/stdin, concorrência assíncrona limitada para varredura em massa, tratamento corrigido de eventos HTTP/3, classificação estruturada de resultados e relatórios CSV/JSON.

Agradecemos aos pesquisadores creditados na divulgação original pela sua coordenação responsável.

📄 Licença

Publicado sob a Licença MIT. Consulte LICENSE.

_{Construído para defensores e equipes vermelhas autorizadas. Escaneie com responsabilidade. 🔐}