CVE-2026-23918 Audit-Skript

Alternativ könntest du einfach die Header mit curl holen und einen Blick drauf werfen, aber hier kommt:

Nicht-invasiver HTTP-Metadaten-Auditor für den Apache HTTP Server CVE-2026-23918-Expositions-Triage.

Das Tool sendet gewöhnliche HTTP HEAD/GET-Anfragen und führt TLS-ALPN-Aushandlung durch, um die HTTP/2-Unterstützung zu beobachten.

Anforderungen

Python 3.13 oder höher
uv

Installiere uv:

curl -LsSf https://astral.sh/uv/install.sh | sh

Beispiele für gängige Paketmanager:

brew install uv [email protected]
sudo apt install python3.13 python3.13-venv pipx && pipx install uv
sudo dnf install python3.13 pipx && pipx install uv
sudo pacman -S uv python

Installiere Projektabhängigkeiten:

make install

Installiere Entwicklerabhängigkeiten für Linting:

make install-dev

Verwendung

Drucke die Befehlszusammenfassung:

make help

Auditiere ein einzelnes Ziel:

make run https://example.com

Drucke einzeilige CVE-Urteile:

make run https://example.com brief

Auditiere Ziele aus targets.json:

make run targets.json brief

Optionale Variablen:

make run targets.json brief TIMEOUT=30 CONCURRENCY=10
make run https://example.com INSECURE=1
make run targets.json JSON_OUTPUT=1

Interaktive Terminals zeigen einen kleinen ASCII-Spinner auf stderr, während Anfragen ausgeführt werden. Die Berichtsausgabe bleibt auf stdout.

Ziel-Datei

targets.json muss ein JSON-Array aus Hostnamen, IP-Adressen oder URLs sein:

[
    "https://httpd.apache.org",
    "https://example.com",
    "http://scanme.nmap.org"
]

Äquivalentes generisches Format:

[
    "https://example.com",
    "example.org",
    "192.0.2.10",
    "http://192.0.2.20:8080"
]

Jeder Eintrag muss ein nicht-leerer String sein. Bloße Hostnamen und IP-Adressen werden auf HTTPS normalisiert.

Prüfungen

Server-Banner und Apache-Version-Extraktion
HTTP/2-Indikatoren aus Antwortprotokoll, TLS-ALPN, Alt-Svc und Upgrade
CVE-2026-23918-Versionstriage
Häufige Sicherheits-Header
Cookie-Sicherheitsattribute
TLS-Verifizierungsstatus

Kurzes Ausgabeformat:

https://example.com  [Apache/2.4.66] [h2 no] => likely vulnerable (h2 not confirmed)

Für CVE-2026-23918 wird Apache 2.4.66 als betroffen und 2.4.67 oder später als behoben behandelt. Ältere Apache-Versionen werden als außerhalb des bestätigten CVE-Bereichs gemeldet.

Aufbau

audit.py: CLI-Einstiegspunkt.
auditor/: Validierung, passive Erfassung, Analyse, Berichterstattung und Fortschrittsanzeige.

Exit-Status

Erfolgreiche Ausführung beendet sich mit Status 0 nach der Ergebnismeldung. Befunde, einschließlich verwundbar aussehender Banner, sind Datenausgaben und führen nicht zu einem Fehlschlag des Prozesses.

Fehler bei der Eingabevalidierung und Setup-Fehler können mit einem Nicht-Null-Status beendet werden.

Haftungsausschluss

Die Ergebnisse basieren auf extern sichtbaren Metadaten und sind kein autoritativer Beweis für den Paketzustand. Server-Banner können versteckt, modifiziert, zurückportiert oder über Zwischeninstanzen weitergeleitet sein.

Lizenz

CC0 1.0 Universal. Siehe LICENSE.

CVE-2026-23918-Passive-Audit

Beliebteste