CVE-2026-32136_exploit - Bypass de autenticación mediante actualización h2c en AdGuard Home

Bypass de autenticación sin autenticación previa en AdGuard Home < 0.107.73 mediante la actualización de texto claro HTTP/2 (h2c).

Vulnerabilidad

El servidor HTTP en internal/home/web.go envuelve el middleware de autenticación fuera de h2c.NewHandler. Cuando un cliente envía una solicitud HTTP/1.1 con Upgrade: h2c a una ruta pública (p. ej. /login.html), el middleware de autenticación la deja pasar y h2c.NewHandler secuestra la conexión TCP para cambiar a HTTP/2. Cada flujo HTTP/2 que sigue en la conexión actualizada se envía directamente al mux interno, sin pasar nunca por el middleware de autenticación. De este modo, cualquier endpoint administrativo /control/* puede alcanzarse sin autenticación en el mismo socket.

El parche mueve el middleware de autenticación dentro del manejador entregado a h2c.NewHandler, de modo que las tramas HTTP/2 posteriores a una actualización en texto claro pasan por la misma comprobación de autenticación que las solicitudes HTTP/1.1.

Notas

• curl --http2-prior-knowledge no activa el fallo — la capa HTTP/1.1 del servidor rechaza el prefacio HTTP/2 sin procesar con un 401.
• Realizar la actualización en /control/login también devuelve 101 Switching Protocols, pero el 404 (endpoint solo POST) en el flujo 1 contamina los flujos posteriores. Utiliza una ruta estática que devuelva 200 OK (p. ej. /login.html).

Uso

# Kali / Debian / Ubuntu
sudo apt install -y python3-h2

python3 CVE-2026-32136.py <target-ip> [port] [path]

Valores predeterminados: port=80, path=/control/filtering/status.

Ejemplo

$ python3 CVE-2026-32136.py 192.168.1.5 80 /control/filtering/status | jq .user_rules
[+] h2c upgrade successful — connection is now HTTP/2
[+] response status: 200
[
  "||tracking.corp.example^",
  "||analytics.internal.example^",
  ...
]

stdout es el cuerpo de la respuesta sin procesar; los mensajes de estado se escriben en stderr para que la salida se canalice limpiamente hacia jq.

Otros endpoints para probar

Mitigación

Actualice a AdGuard Home 0.107.73 o posterior.

Referencias

• VulnTracker: https://vulntracker.io/cves/CVE-2026-32136
• GHSA: https://github.com/AdguardTeam/AdGuardHome/security/advisories/GHSA-5fg6-wrq4-w5gh
• Parche: https://github.com/AdguardTeam/AdGuardHome/commit/c003e9f9c04311a13ca7a873a8437f80711102a5
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-32136
• Lanzamientos de AdGuard Home: https://github.com/AdguardTeam/AdGuardHome/releases

Descargo de responsabilidad

Esta prueba de concepto se publica con fines educativos y de investigación defensiva. No lo ejecute contra sistemas que no sean de su propiedad o para los que no tenga autorización explícita de prueba.