CVE-2026-42945 (NGINX Rift) — scanner defensivo

Organizações que executam NGINX Open Source, NGINX Plus, ou ingress/controllers baseados em NGINX devem verificar se são afetadas pelo CVE-2026-42945 e corrigir ou reconfigurar antes que tentativas de exploração atinjam os ambientes de produção.

Este repositório fornece um scanner somente leitura, não-exploit para uso defensivo autorizado em sistemas que você possui ou tem permissão para testar.

O que é a vulnerabilidade

A exploração requer uma configuração de reescrita específica:

1. Uma diretiva rewrite usando uma captura PCRE sem nome ($1, $2, …) na substituição
2. A string de substituição contém ?
3. Outra diretiva rewrite, if, ou set no mesmo escopo server/location usa essa captura

Impacto:

• DoS (falha do worker) é o resultado mais realista e está sendo explorado ativamente.
• RCE é mais difícil e tipicamente exige ASLR desabilitado no host.

O que este scanner faz

Ele não envia requisições de exploit elaboradas nem tenta derrubar workers.

Início rápido

cd nginx-cve-2026-42945
chmod +x scan_nginx_rift.py

# Best: run on each NGINX host with sudo
sudo python3 scan_nginx_rift.py --local

# Or scan a full config dump
sudo nginx -T 2>&1 | tee /tmp/nginx-full.txt
python3 scan_nginx_rift.py --local --config /tmp/nginx-full.txt

# Passive remote banner check (version only)
python3 scan_nginx_rift.py --url https://your-site.example/

# JSON for automation
python3 scan_nginx_rift.py --local --json --fail-on high

Código de saída 1 quando o risco for ALTO ou CRÍTICO (use --fail-on para ajustar portões de CI).

Interpretando resultados

Remediação (resumo)

1. Atualize para NGINX 1.30.1 / 1.31.0+ ou seu pacote de segurança do SO/fornecedor.

2. Reinicie os workers após a atualização (systemctl restart nginx), não apenas reload.

3. Audite a configuração completa: sudo nginx -T e procure por regras de rewrite com $1/$2 e ?.

4. Mitigação temporária: use capturas nomeadas em vez de $1, $2:

   root@kitploit:~

   # Vulnerable pattern (simplified)
   rewrite ^/api/(.*)$ /internal?migrated=true;
   set $original_path $1;
   
   # Safer pattern
   rewrite ^/api/(?<path>.*)$ /internal?migrated=true;
   set $original_path $path;
   

5. Confirme que o ASLR permanece ativado no Linux (randomize_va_space=2).

6. Revise , Helm charts e configurações geradas — não apenas .

Referências

• Avisos de segurança do NGINX
• NVD — CVE-2026-42945
• depthfirst — NGINX Rift
• Aviso da F5: K000161019

Legal

Use apenas em infraestrutura que você está autorizado a avaliar. Escaneamento não autorizado pode violar políticas ou leis.