CVE-2026-32136_exploit - AdGuard Home h2c 업그레이드 인증 우회

AdGuard Home < 0.107.73에서 HTTP/2 클리어텍스트(h2c) 업그레이드를 통한 인증되지 않은 인증 우회

취약점

internal/home/web.go의 HTTP 서버는 인증 미들웨어를 h2c.NewHandler 외부에 래핑합니다. 클라이언트가 공개 경로(예: /login.html)에 Upgrade: h2c가 포함된 HTTP/1.1 요청을 보내면 인증 미들웨어가 이를 통과시키고 h2c.NewHandler가 TCP 연결을 하이재킹하여 HTTP/2로 전환합니다. 업그레이드된 연결에서 뒤따르는 모든 HTTP/2 스트림은 인증 미들웨어를 전혀 통과하지 않고 내부 mux로 직접 전달됩니다. 따라서 동일한 소켓에서 인증 없이 모든 /control/* 관리 엔드포인트에 접근할 수 있습니다.

패치는 인증 미들웨어를 h2c.NewHandler에 전달되는 핸들러 내부로 이동시켜, 클리어텍스트 업그레이드 이후의 HTTP/2 프레임이 HTTP/1.1 요청과 동일한 인증 검사를 받도록 합니다.

참고 사항

• curl --http2-prior-knowledge는 하지 않습니다 버그를 트리거하지 않습니다. 서버의 HTTP/1.1 계층이 원시 HTTP/2 프리페이스를 401로 거부합니다.
• /control/login에서 업그레이드하면 101 Switching Protocols도 반환되지만, 스트림 1에서 404(POST 전용 엔드포인트)가 이후 스트림을 오염시킵니다. 200 OK를 반환하는 정적 경로(예: /login.html)를 사용하세요.

사용법

# Kali / Debian / Ubuntu
sudo apt install -y python3-h2

python3 CVE-2026-32136.py <target-ip> [port] [path]

기본값: port=80, path=/control/filtering/status.

예제

$ python3 CVE-2026-32136.py 192.168.1.5 80 /control/filtering/status | jq .user_rules
[+] h2c 업그레이드 성공 — 연결이 이제 HTTP/2입니다
[+] 응답 상태: 200
[
  "||tracking.corp.example^",
  "||analytics.internal.example^",
  ...
]

stdout은 원시 응답 본문입니다. 상태 메시지는 stderr로 출력되므로 출력이 jq로 깔끔하게 파이프됩니다.

시도해 볼 다른 엔드포인트

완화

AdGuard Home 0.107.73 이상으로 업그레이드하세요.

참조

• VulnTracker: https://vulntracker.io/cves/CVE-2026-32136
• GHSA: https://github.com/AdguardTeam/AdGuardHome/security/advisories/GHSA-5fg6-wrq4-w5gh
• 패치: https://github.com/AdguardTeam/AdGuardHome/commit/c003e9f9c04311a13ca7a873a8437f80711102a5
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-32136
• AdGuard Home 릴리스: https://github.com/AdguardTeam/AdGuardHome/releases

면책 조항

이 개념 증명은 교육 및 방어 연구 목적으로 게시되었습니다. 소유하지 않거나 명시적 테스트 권한이 없는 시스템에 대해 실행하지 마십시오.