cve-2026-23918

CVE-2026-23918（Apache HTTPD HTTP/2 ダブルフリー RCE）および2026年5月4日のApache Software Foundationセキュリティアドバイザリで開示された4つの関連CVEに対する防御的監査ツール。

すべての問題は Apache HTTP Server 2.4.67 で修正されています。

⚠️ 許可と範囲

これらのツールは、自分が所有するシステム、または明示的な書面による許可を得たシステムに対してのみ使用することを目的としています。無許可のスキャンは、お住まいの地域で違法となる可能性があります。

このツールキットは設計上防御的です：

• 脆弱性ペイロードなし、エクスプロイト試行なし、侵入的なプロービングなし。
• パッシブスキャナーは標準の Server: HTTPヘッダーのみを読み取り、標準のTLS ALPNを使用します — これはすべての最新ブラウザがHTTP/2をネゴシエートするために使用するのと同じメカニズムです。
• ローカル監査ツールは読み取り専用です。ファイルや設定は変更されません。

内容

.
├── apache_passive_audit.py    # 外部アセット監査（バナー取得 + ALPN）
├── apache_local_audit.py      # ホスト上 / SSH ローカル監査
├── LICENSE                    # MIT
├── .gitignore
└── README.md

必要条件

• Python 3.6+ — Ubuntu 18.04のデフォルトの python3 およびそれ以降のすべてのリリースで動作します。
• 標準ライブラリのみ — 外部依存関係はありません。

インストール

git clone https://github.com/sibersan/cve-2026-23918.git
cd cve-2026-23918
chmod +x apache_passive_audit.py apache_local_audit.py

1. パッシブ監査 — apache_passive_audit.py

HTTP Server: ヘッダーを読み取ってApacheのバージョンを検出し、CVEテーブルと照合します。さらに、HTTPSターゲットに対して、標準のTLS ALPNネゴシエーションを実行してHTTP/2が公開されているかどうかを判断します — これはCVE-2026-23918が悪用可能であるための主要な前提条件です。エクスプロイトペイロードは送信されません。

HTTP/2 検証 (ALPN)

スクリプトはTLSハンドシェイクのALPN拡張（RFC 7301）で h2 と http/1.1 を提供します。サーバーの選択は、「HTTP/2が有効か？」に対する標準的で明確な答えです — すべての最新ブラウザとcurlで使用されています。脆弱性や異常な動作を引き起こすことはありません。

リスク判定はこれを反映します：

• バージョン2.4.66 + ALPNでHTTP/2確認 → VULNERABLE（RCEベクトルが開いている）
• バージョン2.4.66 + HTTP/2がネゴシエートされていない → AT_RISK（まだパッチ未適用; 他の低/中程度のCVEは該当するが、高深刻度のRCEベクトルは閉じている）
• ALPNテストを実行できなかった → 保守的に判断; 公開されていると仮定
• バージョン2.4.67以上 → SAFE

使用方法

# 単一ターゲット
python3 apache_passive_audit.py -t https://web.example.com

# 複数ターゲット
python3 apache_passive_audit.py -t https://a.example.com -t https://b.example.com

# ターゲットファイル、並列実行、CSV + JSON出力
python3 apache_passive_audit.py -f targets.txt -w 20 -o report.csv --json report.json

# CI / ログ用（色なし）
python3 apache_passive_audit.py -f targets.txt --no-color

targets.txt の形式（1行に1ターゲット、コメントは #）：

https://www.example.com
intranet.example.local:8443
# 古いステージングボックス
http://10.0.5.12

オプション

終了コード（CI/CDフレンドリー）

リスクレベル

制限事項

• ServerTokens Prod または Minimal のサーバーはバージョンを隠します — スクリプトは正直に UNKNOWN を返します。ローカル監査で確認してください。
• リバースプロキシ（Cloudflare、F5、nginxなど）の背後にあるApacheインスタンスは、エッジでバージョンを公開しない場合があります。
• ALPN HTTP/2検出はHTTPSターゲットにのみ意味があります。HTTP/2クリアテキスト（h2c）は実際には稀であり、テストされていません。

2. ローカル監査 — apache_local_audit.py

ターゲットホスト上（またはSSH経由）で実行され、Apacheバイナリ、バージョン、ロード済みモジュール、HTTP/2設定を検査します。また、悪用可能性の前提条件を評価します：例えば、バージョンが2.4.66でもHTTP/2が無効な場合、CVE-2026-23918のリスクはそれに応じて引き下げられます。

使用方法

sudo python3 apache_local_audit.py

# JSONレポート（一元管理用）
sudo python3 apache_local_audit.py --json /var/log/apache_audit_$(hostname).json

# カスタムバイナリパス
sudo python3 apache_local_audit.py --binary /opt/apache/bin/httpd

検出機能

• httpd -v / apache2 -v — バージョン
• httpd -V — ビルド情報、HTTPD_ROOT、SERVER_CONFIG_FILE
• apache2ctl -M または httpd -M — ロード済みモジュール
• dpkg-query / rpm -q — パッケージバージョン
• メイン設定と、Include/IncludeOptional で取り込まれたすべてのファイル（Debianの sites-enabled/、mods-enabled/ を含む）→ Protocols ディレクティブ（h2 / h2c / http/1.1）

オプション

終了コード

リスクレベル

権限

完全な設定読み取りには sudo/root を推奨します。これがないと、sites-enabled/、mods-enabled/、または /etc/httpd/conf.d/ 内の一部のファイルが読み取れない場合があります。

インベントリ全体での実行

複数ホストでローカル監査を実行し、レポートを一元的に収集するには、Ansibleアドホックの例：

ansible all -i inventory.ini -b -m script \
  -a "apache_local_audit.py --json /tmp/apache_audit.json --no-color"

ansible all -i inventory.ini -b -m fetch \
  -a "src=/tmp/apache_audit.json dest=./reports/ flat=no"

収集したJSONファイルは jq または小さなPythonスクリプトでマージできます。

推奨される軽減策

CVE-2026-23918（パッチ適用まで）の場合：

1. Apache HTTP Serverを2.4.67以降にアップグレード — 唯一の恒久的な修正。
2. 暫定措置として、HTTP/2を無効化：設定の Protocols ディレクティブから h2 と h2c を削除するか、Debian/Ubuntuで sudo a2dismod http2 を実行し、サービスをリロードします。
3. 使用していない場合は mod_dav_lock をアンロード（CVE-2026-29169）。
4. .htaccess 書き込みアクセス権を持つユーザー/バーチャルホストを監査（CVE-2026-24072）。

公式アドバイザリ：https://httpd.apache.org/security/vulnerabilities_24.html

コントリビューション

プルリクエストを歓迎します。新しいCVEを追加する場合は：

• CVE_TABLE に影響を受けるバージョン範囲と match ラムダを持つエントリを追加。
• ローカルスクリプトの場合、前提条件チェック（ロード済みモジュール、有効なプロトコルなど）に適切な needs フィールドを定義。
• READMEテーブルを更新。
• Python 3.6互換性を維持：f-strings、from __future__ import annotations、PEP 585ジェネリクス（list[int]）、subprocess.run(capture_output=True)、@dataclass を避ける。

メンテナー

SiberSAN

ライセンス

MIT © 2026 SiberSAN

免責事項

このソフトウェアは「現状のまま」提供され、いかなる種類の保証もありません。本番環境で使用する前にテスト環境で検証してください。ユーザーは、許可されていないシステムに対する使用について、すべての法的責任を負うものとします。