CVE-2026-32136_exploit - AdGuard Home h2c アップグレード認証バイパス

AdGuard Home < 0.107.73 には、HTTP/2 クリアテキスト (h2c) アップグレードを介した認証なしの認証バイパスが存在します。

脆弱性

internal/home/web.go の HTTP サーバーは、認証ミドルウェアを h2c.NewHandler の外側でラップしています。クライアントが Upgrade: h2c を含む HTTP/1.1 リクエストを公開パス (例: /login.html) に送信すると、認証ミドルウェアはそれを通過させ、h2c.NewHandler が TCP 接続をハイジャックして HTTP/2 に切り替えます。アップグレードされた接続上で後続するすべての HTTP/2 ストリームは、認証ミドルウェアを一切経由することなく、内側の mux に直接ディスパッチされます。そのため、同じソケット上で任意の /control/* 管理エンドポイントに認証なしで到達できます。

このパッチは、認証ミドルウェアを h2c.NewHandler に渡されるハンドラーの内側に移動します。これにより、クリアテキストアップグレード後の HTTP/2 フレームは、HTTP/1.1 リクエストと同じ認証チェックを受けます。

注記

• curl --http2-prior-knowledge ではこのバグは発生しません — サーバーの HTTP/1.1 レイヤーが生の HTTP/2 プリアンブルを 401 で拒否します。
• /control/login でのアップグレードも 101 Switching Protocols を返しますが、ストリーム 1 での 404 (POST 専用エンドポイント) が後続のストリームを汚染します。200 OK を返す静的パス (例: /login.html) を使用してください。

使用方法

# Kali / Debian / Ubuntu
sudo apt install -y python3-h2

python3 CVE-2026-32136.py <target-ip> [port] [path]

デフォルト: port=80、path=/control/filtering/status。

実行例

$ python3 CVE-2026-32136.py 192.168.1.5 80 /control/filtering/status | jq .user_rules
[+] h2c upgrade successful — connection is now HTTP/2
[+] response status: 200
[
  "||tracking.corp.example^",
  "||analytics.internal.example^",
  ...
]

stdout は生のレスポンスボディです。ステータスメッセージは stderr に書き込まれるため、出力を jq にそのままパイプできます。

試行可能な他のエンドポイント

緩和策

AdGuard Home 0.107.73 以降にアップグレードしてください。

参照

• VulnTracker: https://vulntracker.io/cves/CVE-2026-32136
• GHSA: https://github.com/AdguardTeam/AdGuardHome/security/advisories/GHSA-5fg6-wrq4-w5gh
• パッチ: https://github.com/AdguardTeam/AdGuardHome/commit/c003e9f9c04311a13ca7a873a8437f80711102a5
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-32136
• AdGuard Home リリース: https://github.com/AdguardTeam/AdGuardHome/releases

免責事項

この概念実証 (PoC) は、教育および防御研究を目的として公開されています。所有していないシステム、または明示的なテスト許可を得ていないシステムに対して実行しないでください。