Детектор NGINX Rift для CVE-2026-42945

Только для чтения Bash-проверка для скомпрометированных серверов NGINX. Помогает оператору ответить на два вопроса после раскрытия CVE-2026-42945:

• Продолжает ли этот сервер работать с уязвимой сборкой NGINX или опасной конфигурацией rewrite?
• Показывают ли локальные журналы сигналы сбоя, длинного URI или кодирования, которые требуют проверки перед закрытием заявки?

Начало работы

Ресурсы Ping7

• Все инструменты GitHub: https://ping7.cc/github-tools/
• Полное руководство по самопроверке: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check/
• Сервис исправления CVE: https://ping7.cc/cve-repair/
• Пример отчета об исправлении: https://ping7.cc/cve-repair/sample-report/
• Оповещения о CVE в реальном времени: https://t.me/ping7cve

Сообщение об ошибке или исправление

Открывайте issue на GitHub, когда детектор аварийно завершает работу, выдает ложное срабатывание, пропускает безопасный защитный сигнал или требует очистки документации. Сохраняйте пример нечувствительным.

Используйте исправление Ping7, когда результат VULNERABLE или SUSPICIOUS, или когда доказательства включают живые домены, трафик клиентов, частные журналы, временные метки сбоев или строки конфигурации, которые не следует публиковать.

Доказательства для сохранения

• Вывод детектора и версия.
• Версия NGINX и источник пакета.
• Соответствующие строки конфигурации rewrite, при необходимости очищенные.
• Первая подозрительная временная метка из журналов доступа или ошибок.
• Были ли журналы ротированы, удалены или сохранены вне хоста.

Используйте этот репозиторий, когда

• Вы управляете NGINX напрямую, через обратный прокси или за панелью управления хостингом.
• Сервер использует конфигурацию с большим количеством rewrite, и окно патча не было четко задокументировано.
• Вам нужен терминальный результат, который можно вставить в заявку инцидента.
• Вы хотите сделать первичную проверку перед оплатой очистки или анализа компрометации.

Быстрый старт

Сначала проверьте:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/nginx-rift-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

Не запускайте удаленное содержимое оболочки сразу от root. Загрузите скрипт, проверьте его, затем запустите на сервере, за который вы отвечаете.

Что проверяется

Когда запускать

Запускайте это на серверах NGINX, которые:

• Используют конфигурации с большим количеством rewrite.
• Не были быстро исправлены после раскрытия CVE.
• Обрабатывают публичный трафик обратного прокси, CDN-источника, API или WordPress.
• Показывают необъяснимые сбои рабочих процессов или необычно длинные пути запросов.

Вывод

Скрипт сообщает одно из:

• CLEAN: не обнаружено явных признаков уязвимости или эксплуатации.
• VULNERABLE: сигналы версии/конфигурации указывают на уязвимость.
• SUSPICIOUS: индикаторы журналов или времени выполнения требуют ручной проверки.

Пример вывода

NGINX Rift CVE-2026-42945 Detector

Checks:
- NGINX version
- rewrite configuration
- access and error logs
- Linux ASLR
- worker user

Result: SUSPICIOUS (0 critical, 2 warnings)
Next: review rewrite rules and error-log crash entries before closing the ticket.
Guide: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check

Код завершения

Этот выпуск предназначен для интерактивной сортировки. Он выводит CLEAN, VULNERABLE или SUSPICIOUS в терминал и обычно завершается с кодом 0, если только сам shell не завершился с ошибкой. Если вам нужны коды завершения в стиле CI, оберните статус вывода в собственный конвейер развертывания.

Ограничения

• Он не может доказать, была эксплуатация или нет.
• Он проверяет только локальные файлы и журналы, доступные текущему пользователю.
• Ротированные, удаленные или хранящиеся вне хоста журналы могут скрыть соответствующий период.
• Бэкпорты вендора могут сделать версию пакета старше, чем фактическая исправленная сборка.

Путь исправления

1. Обновите NGINX до исправленной сборки от вашего вендора.
2. Замените небезопасные шаблоны захвата rewrite на более безопасные именованные захваты.
3. Оставьте ASLR включенным.
4. Проверьте журналы доступа и ошибок за период уязвимости.
5. Перезапустите NGINX и подтвердите, что детектор сообщает о чистоте.

Передача на исправление

Если результат VULNERABLE или SUSPICIOUS, сохраните вывод и отправьте:

Domain or server:
NGINX version:
CVE: CVE-2026-42945
Detector result: CLEAN / VULNERABLE / SUSPICIOUS
First suspicious timestamp:
Symptoms: worker crash, long URI logs, redirect, config change, or scanner result
Logs still available: yes / no

Не отправляйте пароли в первом сообщении. Отправляйте симптомы, временные метки, скриншоты и очищенные фрагменты журналов.

Нужна практическая помощь: https://ping7.cc/cve-repair

Участие в разработке

Откройте issue, если у вас есть новый защитный сигнал, ложное срабатывание или неверно сообщаемая версия дистрибутива. Укажите версию NGINX, семейство ОС, очищенную строку конфигурации и результат детектора. Не публикуйте живые журналы клиентов, секреты или строки атак.

Оборонный охват

Этот проект является исключительно оборонительным. Запускайте его только на системах, которыми вы владеете или на аудит которых у вас есть разрешение.

Никаких полезных нагрузок. Никакого широкого сканирования. Никаких шагов эксплуатации.

Лицензия

MIT