CVE-2026-42530 — Safe-Check 扫描器

针对 NGINX HTTP/3（QUIC）释放后使用漏洞的非破坏性批量扫描器
在不触发漏洞的前提下，盘点你的哪些主机存在风险。

⚠️ 免责声明

本工具仅用于授权的安全测试——测试你自己的基础设施，或你有明确书面授权进行评估的系统。它执行只读指纹识别，并不会利用漏洞。你有责任确保测试在授权范围内，并遵守适用法律及负责任的披露原则。作者不对滥用行为承担任何责任。

🔍 关于漏洞

CVE-2026-42530 是 NGINX 的 ngx_http_v3_module 中存在的释放后使用漏洞（CWE-416）。当 NGINX 配置为提供 HTTP/3 服务时，远程未经认证的攻击者可以在精心构造的 HTTP/3 会话中重新打开 QPACK 编码器流，导致工作进程引用已释放的内存。直接后果是工作进程崩溃/重启（拒绝服务）；在 ASLR 被禁用或可绕过的环境中，该漏洞可能升级为远程代码执行。

关键点： 该缺陷仅在启用 HTTP/3（QUIC） 时才能被利用——默认情况下并未启用。仅提供 HTTP/1.1 或 HTTP/2 over TCP 的主机不受此特定向量影响。

受影响及已修复版本

✨ 此扫描器的作用

它建立真实的 HTTP/3 连接，发送一个 HEAD / 请求，并读取返回的 Server 头部。据此对每个目标进行分类——关键在于，它将可到达但隐藏版本的主机视为需要手动检查，而不是虚假的“安全”，因为 QUIC 可到达是此 CVE 的前提条件。

• 🛡️ 安全设计——仅进行良性探测；从不重新打开 QPACK 流，从不发送构造的恶意会话。
• 📋 批量扫描——从文件或标准输入提供目标列表。
• ⚡ 并发——异步（asyncio）引擎可同时处理数百个 QUIC 握手，且带有单一、可调的并发上限。
• 🎯 可操作分类——六个明确状态，而非简单的真/假。
• 📦 报告就绪输出——彩色控制台摘要及 CSV / JSON 格式，便于文档化。
• 🚦 CI 友好——当有任何主机存在漏洞时，以非零退出码退出。

状态含义

📦 安装

需要 Python 3.11+（使用了 asyncio.timeout）。

git clone https://github.com/renzi25031469/CVE-2026-42530-scanner.git
cd CVE-2026-42530-scanner
pip install aioquic

提示：建议使用虚拟环境——python3 -m venv .venv && source .venv/bin/activate。

🚀 使用

# 单主机
python3 cve-2026-42530-scanner.py example.com

# 从文件读取多个主机，并发100，保存CSV
python3 cve-2026-42530-scanner.py -f targets.txt -c 100 --csv results.csv

# 从标准输入管道传入目标，导出JSON
cat hosts.txt | python3 cve-2026-42530-scanner.py -f - --json results.json

# 自定义端口和超时
python3 cve-2026-42530-scanner.py target.internal -p 8443 -t 5

目标文件格式

每行一个主机。端口、协议、路径和注释会被自动处理：

# 生产环境边缘节点
edge01.example.com
edge02.example.com:8443
https://api.example.com/

# 暂存环境
10.0.5.21

选项

输出示例

[*] CVE-2026-42530 安全检查 — 4 个目标，并发数=100，超时=10秒

======================================================================
CVE-2026-42530 安全检查结果
======================================================================
[VULNERABLE              ] edge01.example.com:443  (Server: nginx/1.31.1)
      -> 通过 HTTP/3 存在漏洞的 NGINX 版本。请升级至 nginx/1.31.2 或更高版本。
[HTTP3_VERSION_HIDDEN    ] api.example.com:443
      -> HTTP/3 可到达，但 Server 头被隐藏。请手动验证 NGINX 版本。
[LIKELY_PATCHED          ] edge02.example.com:8443  (Server: nginx/1.31.2)
[NO_HTTP3                ] 10.0.5.21:443
----------------------------------------------------------------------
摘要：VULNERABLE=1 | HTTP3_VERSION_HIDDEN=1 | LIKELY_PATCHED=1 | NO_HTTP3=1

[!] 有 1 台主机显示为 VULNERABLE。缓解措施：升级至 nginx/1.31.2 或更高版本，
    或从所有 'listen' 指令中移除 'quic'。
======================================================================

🩹 修复建议

1. 打补丁——将 NGINX 开源版升级至 1.31.2+（NGINX Plus 应用 F5 公告）。
2. 临时缓解——如无法立即打补丁，可通过从每个 listen 指令中移除 quic 参数并删除 http3 on; 来禁用 HTTP/3，然后重新加载 NGINX。这将完全移除易受攻击的代码路径。
3. 纵深防御——保持 ASLR 启用（/proc/sys/kernel/randomize_va_space = 2）。将此视为加固层，不能替代打补丁。

⚙️ 关于并发的说明

aioquic 是异步的，因此此扫描器使用 asyncio.Semaphore 而非 OS 线程。对于网络 I/O 密集型工作——数百个 QUIC 握手在线上等待——单个事件循环比线程池开销更低且扩展性更好，同时提供相同的“一次扫描多台主机”行为。使用 -c 调整并发上限。

🙏 致谢

• 原始安全检查作者： Ashraf Zaryouh — @0xBlackash · 原始仓库
• 改编与扩展： Renzi——多目标文件/标准输入支持、用于批量扫描的有界异步并发、修正的 HTTP/3 事件处理、结构化的结果分类以及 CSV/JSON 报告。

感谢原始披露中提及的研究人员的协调报告。

📄 许可证

以 MIT License 发布。参见 LICENSE。

_{为防御者和授权红队而构建。负责任地扫描。🔐}