cve-2026-23918

CVE-2026-23918 (Apache HTTPD HTTP/2 डबल-फ्री RCE) और 4 मई, 2026 को Apache Software Foundation सुरक्षा परामर्श में खुलासा किए गए चार संबंधित CVE के लिए रक्षात्मक ऑडिट उपकरण।

सभी समस्याएं Apache HTTP Server 2.4.67 में पैच की गई हैं।

⚠️ प्राधिकरण और दायरा

ये उपकरण केवल उन सिस्टमों के विरुद्ध उपयोग के लिए हैं जिनके स्वामी आप हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित प्राधिकरण है। अनधिकृत स्कैनिंग आपके क्षेत्राधिकार में अवैध हो सकती है।

यह टूलकिट डिज़ाइन से रक्षात्मक है:

• कोई भेद्यता पेलोड नहीं, कोई शोषण प्रयास नहीं, कोई आक्रामक जांच नहीं।
• पैसिव स्कैनर केवल मानक Server: HTTP हेडर पढ़ता है और मानक TLS ALPN का उपयोग करता है — वही तंत्र जिसका उपयोग हर आधुनिक ब्राउज़र HTTP/2 पर बातचीत करने के लिए करता है।
• लोकल ऑडिटर केवल-पठनीय है; कोई फ़ाइल या कॉन्फ़िगरेशन संशोधित नहीं किया जाता।

सामग्री

.
├── apache_passive_audit.py    # External asset audit (banner-grab + ALPN)
├── apache_local_audit.py      # On-host / SSH local audit
├── LICENSE                    # MIT
├── .gitignore
└── README.md

आवश्यकताएँ

• Python 3.6+ — Ubuntu 18.04 के डिफ़ॉल्ट python3 और हर बाद के रिलीज़ पर काम करता है।
• केवल मानक लाइब्रेरी — कोई बाहरी निर्भरता नहीं।

स्थापना

git clone https://github.com/sibersan/cve-2026-23918.git
cd cve-2026-23918
chmod +x apache_passive_audit.py apache_local_audit.py

1. पैसिव ऑडिट — apache_passive_audit.py

Apache संस्करण का पता लगाने के लिए HTTP Server: हेडर पढ़ता है और इसे CVE तालिका से मिलाता है। इसके अतिरिक्त, HTTPS लक्ष्यों के लिए, यह निर्धारित करने हेतु एक मानक TLS ALPN हैंडशेक करता है कि HTTP/2 उजागर है या नहीं — यह CVE-2026-23918 के शोषण योग्य होने की मुख्य पूर्वशर्त है। कोई शोषण पेलोड नहीं भेजा जाता।

HTTP/2 सत्यापन (ALPN)

स्क्रिप्ट TLS हैंडशेक के ALPN एक्सटेंशन (RFC 7301) में h2 और http/1.1 प्रस्तावित करती है। सर्वर की पसंद "क्या HTTP/2 सक्षम है?" का मानक, स्पष्ट उत्तर है — जिसका उपयोग हर आधुनिक ब्राउज़र और curl करते हैं। यह भेद्यता या कोई असामान्य व्यवहार ट्रिगर नहीं करता।

जोखिम निर्णय इसे दर्शाता है:

• संस्करण 2.4.66 + ALPN के माध्यम से HTTP/2 की पुष्टि → VULNERABLE (RCE वेक्टर खुला)
• संस्करण 2.4.66 + HTTP/2 पर बातचीत नहीं हुई → AT_RISK (अभी भी अपैच्ड; अन्य निम्न/मध्यम CVE लागू होते हैं, लेकिन उच्च-गंभीरता वाला RCE वेक्टर बंद है)
• ALPN परीक्षण नहीं किया जा सका → रूढ़िवादी; उजागर मान लें
• संस्करण ≥ 2.4.67 → SAFE

उपयोग

# Single target
python3 apache_passive_audit.py -t https://web.example.com

# Multiple targets
python3 apache_passive_audit.py -t https://a.example.com -t https://b.example.com

# Targets file, parallel, CSV + JSON output
python3 apache_passive_audit.py -f targets.txt -w 20 -o report.csv --json report.json

# CI / log-friendly (no colors)
python3 apache_passive_audit.py -f targets.txt --no-color

targets.txt प्रारूप (प्रति पंक्ति एक लक्ष्य, टिप्पणियों के लिए #):

https://www.example.com
intranet.example.local:8443
# old staging box
http://10.0.5.12

विकल्प

एग्ज़िट कोड (CI/CD अनुकूल)

जोखिम स्तर

सीमाएँ

• ServerTokens Prod या Minimal वाले सर्वर संस्करण छिपाते हैं — स्क्रिप्ट ईमानदारी से UNKNOWN लौटाती है। पुष्टि के लिए लोकल ऑडिट का उपयोग करें।
• रिवर्स प्रॉक्सी (Cloudflare, F5, nginx, आदि) के पीछे स्थित Apache इंस्टेंस एज पर अपना संस्करण उजागर नहीं कर सकता।
• ALPN HTTP/2 पहचान केवल HTTPS लक्ष्यों के लिए सार्थक है। HTTP/2 क्लियरटेक्स्ट (h2c) व्यवहार में दुर्लभ है और इसका परीक्षण नहीं किया गया है।

2. लोकल ऑडिट — apache_local_audit.py

लक्ष्य होस्ट पर (या SSH के माध्यम से) चलता है और Apache बाइनरी, संस्करण, लोड किए गए मॉड्यूल और HTTP/2 कॉन्फ़िगरेशन का निरीक्षण करता है। यह शोषण-क्षमता की पूर्वशर्तों का भी मूल्यांकन करता है: उदाहरण के लिए यदि संस्करण 2.4.66 है लेकिन HTTP/2 अक्षम है, तो CVE-2026-23918 का जोखिम तदनुसार कम कर दिया जाता है।

उपयोग

sudo python3 apache_local_audit.py

# JSON report (for centralized inventory)
sudo python3 apache_local_audit.py --json /var/log/apache_audit_$(hostname).json

# Custom binary path
sudo python3 apache_local_audit.py --binary /opt/apache/bin/httpd

पहचान क्षमताएँ

• httpd -v / apache2 -v — संस्करण
• httpd -V — बिल्ड जानकारी, HTTPD_ROOT, SERVER_CONFIG_FILE
• apache2ctl -M या httpd -M — लोड किए गए मॉड्यूल
• dpkg-query / rpm -q — पैकेज संस्करण
• मुख्य कॉन्फ़िगरेशन के साथ Include/IncludeOptional के माध्यम से शामिल की गई सभी फ़ाइलें (Debian के sites-enabled/, mods-enabled/ सहित) → Protocols निर्देश (h2 / h2c / http/1.1)

विकल्प

एग्ज़िट कोड

जोखिम स्तर

विशेषाधिकार

पूर्ण कॉन्फ़िगरेशन पढ़ने के लिए sudo/root की अनुशंसा की जाती है। इसके बिना, sites-enabled/, mods-enabled/, या /etc/httpd/conf.d/ में कुछ फ़ाइलें अपठनीय हो सकती हैं।

इन्वेंट्री में चलाना

कई होस्टों पर लोकल ऑडिट चलाने और रिपोर्ट केंद्रीय रूप से एकत्र करने के लिए, एक Ansible ad-hoc उदाहरण:

ansible all -i inventory.ini -b -m script \
  -a "apache_local_audit.py --json /tmp/apache_audit.json --no-color"

ansible all -i inventory.ini -b -m fetch \
  -a "src=/tmp/apache_audit.json dest=./reports/ flat=no"

एकत्रित JSON फ़ाइलों को jq या एक छोटी Python स्क्रिप्ट के साथ विलय किया जा सकता है।

अनुशंसित शमन उपाय

CVE-2026-23918 के लिए (पैच लागू होने तक):

1. Apache HTTP Server को 2.4.67 या उससे नए संस्करण में अपग्रेड करें — यही एकमात्र स्थायी समाधान है।
2. अंतरिम उपाय के रूप में, HTTP/2 अक्षम करें: अपने कॉन्फ़िगरेशन में Protocols निर्देश से h2 और h2c हटाएं, या Debian/Ubuntu पर sudo a2dismod http2 चलाएं, फिर सेवा को रीलोड करें।
3. उपयोग में न हो तो mod_dav_lock अनलोड करें (CVE-2026-29169)।
4. .htaccess लेखन पहुंच वाले उपयोगकर्ताओं / वर्चुअल होस्टों का ऑडिट करें (CVE-2026-24072)।

आधिकारिक परामर्श: https://httpd.apache.org/security/vulnerabilities_24.html

योगदान

पुल रिक्वेस्ट का स्वागत है। नया CVE जोड़ते समय, कृपया:

• CVE_TABLE में प्रभावित संस्करण सीमा और match लैम्ब्डा के साथ एक प्रविष्टि जोड़ें।
• लोकल स्क्रिप्ट के लिए, पूर्वशर्त जाँचों के लिए उपयुक्त needs फ़ील्ड परिभाषित करें (लोड किया गया मॉड्यूल, सक्षम प्रोटोकॉल, आदि)।
• README तालिका अपडेट करें।
• Python 3.6 संगतता बनाए रखें: f-strings, from __future__ import annotations, PEP 585 जेनेरिक्स (list[int]), subprocess.run(capture_output=True), और @dataclass से बचें।

अनुरक्षक

SiberSAN

लाइसेंस

MIT © 2026 SiberSAN

अस्वीकरण

यह सॉफ़्टवेयर "जैसा है" (as is) प्रदान किया जाता है, बिना किसी भी प्रकार की वारंटी के। प्रोडक्शन उपयोग से पहले परीक्षण वातावरण में सत्यापित करें। अनधिकृत सिस्टमों के विरुद्ध किसी भी उपयोग की सारी कानूनी ज़िम्मेदारी उपयोगकर्ता वहन करता है।