CVE-2026-42530 — Safe-Check Scanner

Неразрушающий массовый сканер для use-after-free в NGINX HTTP/3 (QUIC)
Определите, какие из ваших хостов подвержены уязвимости, — не вызывая ошибку.

⚠️ Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования безопасности — вашей собственной инфраструктуры или систем, на проверку которых у вас есть явное письменное разрешение. Он выполняет снятие «отпечатка» в режиме только для чтения и не эксплуатирует уязвимость. Вы несёте ответственность за соблюдение границ полномочий и соответствие действующему законодательству и принципам ответственного раскрытия. Авторы не несут ответственности за неправомерное использование.

🔍 Об уязвимости

CVE-2026-42530 — это use-after-free (CWE-416) в модуле ngx_http_v3_module NGINX. Если NGINX настроен на обслуживание HTTP/3, удалённый неаутентифицированный злоумышленник может повторно открыть поток QPACK-энкодера в специально сформированной HTTP/3-сессии, что приведёт к обращению рабочего процесса к освобождённой памяти. Немедленное последствие — сбой/перезапуск рабочего процесса (отказ в обслуживании); на хостах, где ASLR отключён или может быть обойдён, уязвимость может привести к удалённому выполнению кода.

Ключевой момент: уязвимость доступна только при включённом HTTP/3 (QUIC) — по умолчанию он не включён. Хосты, обслуживающие только HTTP/1.1 или HTTP/2 по TCP, не подвержены данному конкретному вектору.

Затронутые и исправленные версии

✨ Что делает этот сканер

Он открывает реальное HTTP/3-соединение, отправляет один запрос HEAD / и считывает заголовок Server. На основании этого он классифицирует каждую цель — и, что важно, хосты, доступные, но скрывающие версию, он помечает как требующие ручной проверки, а не ложно «чистые», потому что доступность QUIC является предусловием для данной CVE.

• 🛡️ Безопасен по дизайну — только безвредный зонд; никогда не переоткрывает QPACK-поток, не отправляет вредоносную/специально сформированную сессию.
• 📋 Массовое сканирование — передавайте список целей из файла или stdin.
• ⚡ Одновременный — асинхронный движок (asyncio) обрабатывает сотни QUIC-рукопожатий с одним настраиваемым ограничением.
• 🎯 Практичная классификация — шесть чётких статусов вместо простого true/false.
• 📦 Готовые к отчёту результаты — цветная сводка в консоли плюс CSV / JSON для документации.
• 🚦 Дружелюбен к CI — возвращает ненулевой код, если хотя бы один хост уязвим.

Значения статусов

📦 Установка

Требуется Python 3.11+ (используется asyncio.timeout).

git clone https://github.com/renzi25031469/CVE-2026-42530-scanner.git
cd CVE-2026-42530-scanner
pip install aioquic

Совет: используйте виртуальное окружение — python3 -m venv .venv && source .venv/bin/activate.

🚀 Использование

# Single host
python3 cve-2026-42530-scanner.py example.com

# Many hosts from a file, 100 in parallel, save a CSV
python3 cve-2026-42530-scanner.py -f targets.txt -c 100 --csv results.csv

# Pipe targets from stdin and export JSON
cat hosts.txt | python3 cve-2026-42530-scanner.py -f - --json results.json

# Custom port and timeout
python3 cve-2026-42530-scanner.py target.internal -p 8443 -t 5

Формат файла с целями

По одному хосту в строке. Порты, схемы, пути и комментарии обрабатываются автоматически:

# production edge
edge01.example.com
edge02.example.com:8443
https://api.example.com/

# staging
10.0.5.21

Параметры

Пример вывода

[*] CVE-2026-42530 safe-check — 4 target(s), concurrency=100, timeout=10s

======================================================================
CVE-2026-42530 SAFE-CHECK RESULTS
======================================================================
[VULNERABLE              ] edge01.example.com:443  (Server: nginx/1.31.1)
      -> Vulnerable NGINX version over HTTP/3. Upgrade to nginx/1.31.2 or later.
[HTTP3_VERSION_HIDDEN    ] api.example.com:443
      -> HTTP/3 reachable but Server header is masked. Verify the NGINX version manually.
[LIKELY_PATCHED          ] edge02.example.com:8443  (Server: nginx/1.31.2)
[NO_HTTP3                ] 10.0.5.21:443
----------------------------------------------------------------------
Summary: VULNERABLE=1 | HTTP3_VERSION_HIDDEN=1 | LIKELY_PATCHED=1 | NO_HTTP3=1

[!] 1 host(s) appear VULNERABLE. Mitigation: upgrade to nginx/1.31.2 or later,
    or remove 'quic' from all 'listen' directives.
======================================================================

🩹 Устранение уязвимости

1. Патч — обновите NGINX Open Source до 1.31.2+ (или примените рекомендации F5 для NGINX Plus).
2. Временное смягчение — если нет возможности сразу установить патч, отключите HTTP/3, удалив параметр quic из каждой директивы listen и убрав http3 on;, затем перезагрузите NGINX. Это полностью устраняет уязвимый путь выполнения кода.
3. Эшелонированная защита — держите ASLR включённым (/proc/sys/kernel/randomize_va_space = 2). Относитесь к этому как к слою усиления, а не как к замене патча.

⚙️ Примечание о параллельном сканировании

aioquic является асинхронной библиотекой, поэтому сканер использует asyncio.Semaphore вместо потоков ОС. Для задач, ограниченных сетевым вводом-выводом, — сотни QUIC-рукопожатий, ожидающих в сети, — один цикл событий масштабируется лучше и с гораздо меньшими накладными расходами, чем пул потоков, сохраняя то же поведение «сканирования многих хостов одновременно». Ограничение настраивается флагом -c.

🙏 Благодарности

• Автор оригинального safe-check: Ashraf Zaryouh — @0xBlackash · оригинальный репозиторий
• Адаптировано и расширено: Renzi — ввод нескольких целей из файла/stdin, ограниченная асинхронная конкурентность для массового сканирования, исправленная обработка событий HTTP/3, структурированная классификация результатов и отчёты в CSV/JSON.

Благодарим исследователей, указанных в оригинальном раскрытии, за скоординированное сообщение об уязвимости.

📄 Лицензия

Выпущено под лицензией MIT. См. LICENSE.

_{Создано для защитников и авторизованных красных команд. Сканируйте ответственно. 🔐}