CVE-2026-42945 — Защитная лаборатория NGINX Wazuh SCA

Обзор

В этом репозитории документирована защитная лаборатория для CVE-2026-42945, затрагивающей NGINX ngx_http_rewrite_module.

Цель проекта — подойти к CVE с точки зрения синей команды, используя Wazuh Security Configuration Assessment (SCA) для централизованной оценки подверженности NGINX.

Лаборатория проверяет два условия подверженности:

1. Неисправленная версия пакета NGINX в Ubuntu
2. Опасный шаблон конфигурации rewrite NGINX, связанный с CVE-2026-42945

Конечный результат — централизованная политика Wazuh SCA, которая может быть развернута на отслеживаемых серверах NGINX через централизованную конфигурацию агентов Wazuh.

Архитектура лаборатории

Лаборатория построена на сегментированной сетевой архитектуре.

Internet / WAN
     |
     |
  pfSense Firewall
     |
     |-----------------------------
     |                             |
    LAN                           DMZ
     |                             |
Wazuh Manager                Ubuntu NGINX Server
Wazuh Dashboard              Wazuh Agent
                             NGINX

Компоненты

Цель

Цель заключалась в создании безопасного и повторяемого защитного рабочего процесса:

Wazuh Manager
     |
     | Централизованная политика SCA
     v
Агент Wazuh на сервере NGINX в DMZ
     |
     | Проверяет версию пакета и конфигурацию NGINX
     v
Панель управления Wazuh
     |
     | Показывает пройденные/непройденные проверки
     v
Проверка исправления

Такой подход позволяет оценивать подверженность CVE без выполнения эксплойтов.

Стратегия обнаружения

Пользовательская политика Wazuh SCA выполняет две проверки.

Проверка 1 — Версия пакета NGINX

Политика проверяет, соответствует ли установленная версия пакета NGINX в Ubuntu неисправленной версии, наблюдавшейся в лаборатории.

Изначальная уязвимая версия пакета:

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

Исправленная версия пакета после устранения:

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

Файл политики:

sca-policy/nginx-cve-2026-42945.yml

Проверка 2 — Опасная конфигурация rewrite NGINX

Политика также проверяет опасный шаблон rewrite, связанный с CVE-2026-42945.

Тестовая опасная конфигурация хранится здесь:

nginx-config/vulnerable-example.conf

Исправленная конфигурация хранится здесь:

nginx-config/remediated-example.conf

Проверяемое в лаборатории опасное условие включает:

директива rewrite
безымянный захват, например $1
замена, содержащая ?
последующая директива, например set

Структура репозитория

wazuh-nginx-cve-2026-42945-sca-lab/
├── README.md
├── sca-policy/
│   └── nginx-cve-2026-42945.yml
├── wazuh-config/
│   └── agent.conf
├── nginx-config/
│   ├── vulnerable-example.conf
│   └── remediated-example.conf
├── commands/
│   ├── 01-agent-validation.md
│   ├── 02-nginx-version-check.md
│   ├── 03-sca-policy-deployment.md
│   └── 04-remediation.md
├── screenshots/
│   ├── 01-lab-architecture.png
│   ├── 02-agent-active.png
│   ├── 03-sca-policy-failed.png
│   ├── 04-nginx-package-before.png
│   ├── 05-risky-rewrite-config.png
│   ├── 06-sca-partial-remediation.png
│   ├── 07-nginx-package-after.png
│   └── 08-sca-policy-passed.png
└── docs/
    └── lab-notes.md

Как была построена лаборатория

Шаг 1 — Сегментация сети

В лаборатории использовался pfSense для разделения среды на:

LAN:
- Менеджер Wazuh
- Панель управления Wazuh

DMZ:
- Сервер NGINX на Ubuntu
- Агент Wazuh

Сервер NGINX на Ubuntu был размещён в DMZ.
Менеджер Wazuh был размещён в LAN.

Из DMZ-сервера к менеджеру Wazuh разрешалась только необходимая связь Wazuh.

Шаг 2 — Развертывание агента Wazuh

Сервер DMZ Ubuntu был зарегистрирован как агент Wazuh.

Агент был проверен с менеджера Wazuh и подтверждён как активный.

Команды проверки описаны в:

commands/01-agent-validation.md

Ожидаемое состояние:

Agent: ubuntu-dmz-nginx2
Status: Active

Шаг 3 — Оценка версии NGINX

Установленная версия пакета NGINX была проверена на сервере DMZ Ubuntu.

Команды проверки версии описаны в:

commands/02-nginx-version-check.md

Исходное состояние:

nginx         1.28.3-2ubuntu1
nginx-common  1.28.3-2ubuntu1

После обновления индекса пакетов стала доступна исправленная версия-кандидат:

1.28.3-2ubuntu1.1

Шаг 4 — Опасная конфигурация NGINX

Была создана тестовая конфигурация NGINX для имитации опасного шаблона rewrite.

Уязвимый пример хранится в:

nginx-config/vulnerable-example.conf

Исправленная версия хранится в:

nginx-config/remediated-example.conf

Цель заключалась не в эксплуатации службы, а в проверке, может ли Wazuh SCA идентифицировать локальную опасную конфигурацию.

Шаг 5 — Пользовательская политика Wazuh SCA

На менеджере Wazuh была создана пользовательская политика SCA.

Файл политики:

sca-policy/nginx-cve-2026-42945.yml

В лаборатории эта политика была развернута из общей директории менеджера Wazuh:

/var/ossec/etc/shared/default/nginx-cve-2026-42945.yml

Политика содержит две проверки:

Шаг 6 — Централизованная конфигурация агента

Пользовательская политика SCA была развернута с использованием централизованной конфигурации агента Wazuh.

Файл централизованной конфигурации хранится в этом репозитории как:

wazuh-config/agent.conf

В лаборатории он был развернут по адресу:

/var/ossec/etc/shared/default/agent.conf

Менеджер Wazuh работал в Docker:

single-node-wazuh.manager-1

Команды развертывания описаны в:

commands/03-sca-policy-deployment.md

Шаг 7 — Проверка политики на агенте

После перезапуска агента Wazuh пользовательская политика SCA была получена сервером DMZ Ubuntu.

Полученная политика появилась в:

/var/ossec/etc/shared/nginx-cve-2026-42945.yml

Логи агента Wazuh подтвердили, что политика загружена и оценена.

Ожидаемые индикаторы в логах:

Loaded policy
Starting evaluation of policy
Evaluation finished for policy

Первоначальный результат

При наличии обоих условий подверженности панель управления Wazuh показала:

Passed: 0
Failed: 2
Score: 0%

Это означает, что обе проверки не пройдены:

Скриншот:

screenshots/03-sca-policy-failed.png

Устранение

Шаг 1 устранения — Исправление опасной конфигурации rewrite

Опасная конфигурация rewrite NGINX была заменена на более безопасную.

Файл для справки:

nginx-config/remediated-example.conf

После исправления конфигурации и повторного запуска сканирования Wazuh SCA ожидаемый результат:

Passed: 1
Failed: 1
Score: 50%

На этом этапе:

Скриншот:

screenshots/06-sca-partial-remediation.png

Шаг 2 устранения — Обновление пакетов NGINX

Пакеты NGINX были обновлены с помощью целенаправленного обновления пакетов.

Команды устранения описаны в:

commands/04-remediation.md

До обновления:

Installed: 1.28.3-2ubuntu1
Candidate: 1.28.3-2ubuntu1.1

После обновления:

nginx         1.28.3-2ubuntu1.1
nginx-common  1.28.3-2ubuntu1.1

Скриншот:

screenshots/07-nginx-package-after.png

Итоговый результат

После выполнения обоих шагов устранения результат Wazuh SCA изменился на:

Passed: 2
Failed: 0
Score: 100%

Это подтвердило, что:

1. Опасная конфигурация rewrite была исправлена
2. Пакеты NGINX были обновлены до исправленной версии

Скриншот:

screenshots/08-sca-policy-passed.png

Сводка результатов

Скриншоты

Рекомендованные скриншоты:

Рекомендации для эксплуатации

В лаборатории политика была развернута через группу default Wazuh.

В эксплуатации лучше создать выделенную группу агентов Wazuh, например:

nginx-servers

Только серверы, работающие с NGINX, должны быть назначены в эту группу.

Рекомендуемый стиль развертывания для эксплуатации:

Wazuh Manager
     |
     | Централизованная политика SCA
     v
Группа агентов nginx-servers
     |
     | Применяется только к системам с NGINX
     v
Панель управления Wazuh

Это позволяет избежать применения специфичных для NGINX проверок к нерелевантным системам.

Почему не использовался эксплойт-код

Этот проект намеренно избегает эксплойт-кода.

Цель лаборатории — продемонстрировать защитную инженерию безопасности, а не эксплуатацию.

Оценка основывалась на:

подверженность версии пакета
подверженность конфигурации
централизованная проверка Wazuh SCA
верификация устранения

Ключевые выводы

• Wazuh SCA можно использовать для централизованной оценки подверженности CVE.
• Валидация CVE не всегда требует выполнения эксплойта.
• Сегментация DMZ с pfSense делает лабораторию более реалистичной.
• Пользовательские политики SCA могут проверять как версии пакетов, так и опасные конфигурации.
• Устранение должно проверяться с измеримыми результатами «до» и «после».
• Для развертывания в эксплуатации следует использовать выделенную группу агентов Wazuh.

Отказ от ответственности

Этот репозиторий предназначен только для образовательных и защитных целей безопасности.

Эксплойт-код не включен.

Проверки разработаны для контролируемой лабораторной среды и должны быть проверены перед использованием в эксплуатации.