🛡️ CVE-2026-42530 - NGINX HTTP/3 (QUIC) 释放后使用漏洞

NGINX HTTP/3 (QUIC) 中的高危释放后使用漏洞

---

⚠️ QPACK 编码器流漏洞

🔍 概述

CVE-2026-42530 是 NGINX 的 ngx_http_v3_module 模块中的一个 释放后使用 漏洞。

远程未认证攻击者可以通过在 HTTP/3 上重新打开已关闭的 QPACK 编码器流 来触发此漏洞，导致工作进程崩溃（拒绝服务），并在某些配置下可能导致 远程代码执行。

🚨 严重性

影响：拒绝服务 + 可能远程代码执行（可能绕过 ASLR）

📌 受影响版本

• NGINX 开源版 — 1.31.0、1.31.1
• 某些 NGINX Plus 版本
• 任何启用 http3 / QUIC 的服务器

修复版本：1.31.2（2026 年 6 月 17 日发布）

🛠️ 安全检测工具 (CVE-2026-42530-safe-check.py)

python3 CVE-2026-42530-safe-check.py <target> [-p PORT] [-t TIMEOUT]

功能：

• ✅ 非破坏性（安全）
• ✅ 真实的 HTTP/3 + QUIC 连接
• ✅ 版本指纹识别
• ✅ 美观的彩色输出

🔍 最佳 Shodan 搜索语法

"nginx/1.31.0" OR "nginx/1.31.1" quic OR http3
nginx "http/3" OR quic port:443
"alt-svc: h3" nginx
port:443 nginx quic

🛡️ 缓解措施

1. 立即升级 至 NGINX 1.31.2+
2. 禁用 HTTP/3（推荐临时方案）：
   root@kitploit:~

   listen 443 ssl;        # 替代 listen 443 http3;
   

3. 设置 server_tokens off;

📚 参考链接

• 官方 F5 安全公告：K000161616
• CVE 记录：CVE-2026-42530