CVE-2026-29781

Sliver C2 サーバーにおけるアーキテクチャ上の脆弱性により、Reverse-C2 Weaponization（リバースC2の武器化）が可能になります。捕捉したインプラントから認証情報を抽出することで、防御側はC2の関係性を武器化し、リモートからのインフラストラクチャ・キルスイッチを発動できます。この悪用は、Protobufハンドラーにおけるnilポインタ検証の体系的な欠如を標的とし、グローバルなランタイムパニックを引き起こします。

CVE-2026-29781の影響は、C2インフラストラクチャの完全な運用麻痺です。

1. 狩る者が狩られる側へ：インプラントバイナリを捕捉した防御側は、攻撃を逆転させてSliverサーバーを完全にシャットダウンできます。

2. クロストランスポート崩壊：mTLS、WireGuard、DNSトランスポートにはrecover()メカニズムがないため、単一の不正なパケットによってGoランタイム全体が終了します（SIGSEGV）。

3. 巻き添えによるセッション喪失：DNSビーコンを介してトリガーされたクラッシュは、フリート全体のすべてのアクティブなHTTP、mTLS、WireGuardセッションを即座に強制終了させます。

4. オペレーターの強制排除：すべてのアクティブなオペレーターはgRPCインターフェースから即座に切断され、未保存の状態とリアルタイム監視をすべて失います。

5. 復旧にはサーバーの再起動と複雑なピボットチェーンの再確立のための手動介入が必要となり、高い目標復旧時間（RTO）が発生します。

再現手順：

1. 前提条件： 認証情報の抽出：捕捉したSliverインプラントからmTLS証明書、秘密鍵、Ageシークレットキーを取得します。

2. PoCの編集：mtls_poc.goを開き、varブロック内のプレースホルダー値（c2Endpoint、clientCertPEM、clientKeyPEM、peerPrivateKey）を抽出した認証情報に置き換えます。

3. テスト用のSliverサーバーに対してエクスプロイトを実行します：

go run mtls_poc.go

期待される結果とクラッシュの証明：不正なパケットを受信すると、Sliverサーバーは即座にNilポインタ参照外しをトリガーします。トランスポート層（mTLS/Yamux）がこのパニックから回復できないため、サーバープロセス全体がSIGSEGVで終了します。

サーバーのステータスを確認することでこれを検証できます：

systemctl status sliver

公式アドバイザリ GHSA-hx52-cv84-jr5v