CVE-2026-32136_exploit - AdGuard Home h2c Upgrade Authentifizierungs-Bypass

Nicht authentifizierter Authentifizierungs-Bypass in AdGuard Home < 0.107.73 über ein HTTP/2-Klartext-(h2c)-Upgrade.

Schwachstelle

Der HTTP-Server in internal/home/web.go umschließt die Auth-Middleware außerhalb von h2c.NewHandler. Wenn ein Client eine HTTP/1.1-Anfrage mit Upgrade: h2c an einen öffentlichen Pfad sendet (z. B. /login.html), lässt die Auth-Middleware sie durch, und h2c.NewHandler übernimmt die TCP-Verbindung, um auf HTTP/2 zu wechseln. Jeder HTTP/2-Stream, der nach dem Upgrade auf der Verbindung folgt, wird direkt an den inneren Mux weitergeleitet — ohne jemals die Auth-Middleware zu durchlaufen. Jeder /control/*-Admin-Endpunkt kann dann ohne Authentifizierung über denselben Socket erreicht werden.

Der Patch platziert die Auth-Middleware innerhalb des an h2c.NewHandler übergebenen Handlers, sodass HTTP/2-Frames nach einem Klartext-Upgrade dieselbe Auth-Prüfung durchlaufen wie HTTP/1.1-Anfragen.

Hinweise

• curl --http2-prior-knowledge löst den Fehler nicht aus — die HTTP/1.1-Ebene des Servers lehnt die rohe HTTP/2-Präambel mit einem 401 ab.
• Ein Upgrade auf /control/login gibt ebenfalls 101 Switching Protocols zurück, aber die 404-Antwort (Nur-POST-Endpunkt) auf Stream 1 vergiftet nachfolgende Streams. Verwende einen statischen Pfad, der 200 OK zurückgibt (z. B. /login.html).

Verwendung

# Kali / Debian / Ubuntu
sudo apt install -y python3-h2

python3 CVE-2026-32136.py <target-ip> [port] [path]

Standardwerte: port=80, path=/control/filtering/status.

Beispiel

$ python3 CVE-2026-32136.py 192.168.1.5 80 /control/filtering/status | jq .user_rules
[+] h2c upgrade successful — connection is now HTTP/2
[+] response status: 200
[
  "||tracking.corp.example^",
  "||analytics.internal.example^",
  ...
]

stdout ist der rohe Antworttext; Statusmeldungen werden nach stderr geschrieben, damit die Ausgabe sauber in jq weitergeleitet werden kann.

Weitere Endpunkte zum Ausprobieren

Gegenmaßnahmen

Aktualisiere auf AdGuard Home 0.107.73 oder neuer.

Referenzen

• VulnTracker: https://vulntracker.io/cves/CVE-2026-32136
• GHSA: https://github.com/AdguardTeam/AdGuardHome/security/advisories/GHSA-5fg6-wrq4-w5gh
• Patch: https://github.com/AdguardTeam/AdGuardHome/commit/c003e9f9c04311a13ca7a873a8437f80711102a5
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-32136
• AdGuard Home-Releases: https://github.com/AdguardTeam/AdGuardHome/releases

Haftungsausschluss

Dieser Proof-of-Concept wird zu Bildungs- und Abwehrforschungszwecken veröffentlicht. Führen Sie ihn nicht gegen Systeme aus, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Genehmigung zum Testen haben.