クイックスタート

• 完全な分析を読む: CVE-2026-24072-analysis.md
• パッチを確認する: mod_rewrite.diff、mod_setenvif.diff、mod_proxy_fcgi.diff
• 概念実証の例を参照する: examples/

根本原因

Apache の式評価エンジン（ap_expr）は、ファイルシステムの調査機能を提供します:

• file(path) — ファイルの内容を読み取る
• filesize(path) — ファイルサイズを返す
• -d path、-e path、-f path、-s path、-L path、-h path、-x path — ファイルシステムのテスト

2.4.66 以前では、mod_rewrite（RewriteCond expr=... 経由）、mod_setenvif（SetEnvIfExpr 経由）、mod_proxy_fcgi（ProxyFCGIBackendType 条件式経由）などのモジュールが、.htaccess コンテキストで動作する際に AP_EXPR_FLAG_RESTRICTED フラグを渡さずに ap_expr 式を解析・評価していました。これは、.htaccess ファイルを書き込めるローカルユーザーであれば誰でも、これらの式関数を使用して、httpd プロセスの完全な権限でファイルシステムを調査または読み取ることができることを意味します。

修正内容

修正は概念的にシンプルです: .htaccess コンテキストで ap_expr 式を解析する際に、AP_EXPR_FLAG_RESTRICTED フラグを渡します。

修正された3つのモジュールはすべて、同じイディオムを使用して .htaccess 解析コンテキストを検出します:

Apache が .htaccess ファイルを解析するとき、ディレクトリ単位の設定プール（cmd->pool）は一時プール（cmd->temp_pool）と同じになります。これは、メインサーバー/仮想ホストコンテキストと .htaccess（ディレクトリ単位）コンテキストを検出するための、Apache のよく知られた内部規約です。

このリポジトリのファイル

パッチの検証

このリポジトリには、脆弱な mod_rewrite モジュールと修正済みの mod_rewrite モジュールを切り替えて修正が機能することを検証できるDocker ベースのテストラボが含まれています:

このラボは、daemon ユーザー（httpd が実行されるユーザー）のみが読み取り可能なセンチネルファイル（/opt/sentinel/secret.txt）を使用します。脆弱なビルドでは、.htaccess 式がセンチネルの内容を読み取り、照合できます。修正済みビルドでは、解析が not available in restricted context で失敗します。

完全なガイドは docs/TESTING.md を参照してください。

このリポジトリのファイル

参考情報

• CVE-2026-24072 - Apache HTTP Server: ap_expr による mod_rewrite の権限昇格
• Apache HTTP Server 2.4 のセキュリティ脆弱性
• CVE-2026-24072 に関する cPanel セキュリティアドバイザリ

免責事項

このリポジトリは教育および防御目的のみです。概念実証の例は、セキュリティ専門家がこの脆弱性を理解し防御するのに役立つことを意図しています。所有していないシステムや明示的なテスト許可がないシステムでこれらの手法を使用しないでください。