Skip to content
KitploitKITPLOIT
도구익스플로잇블로그
Log in
제출
도구익스플로잇블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
CVE-2026-86350 — CVE-2026-86350에 대한 공개 패키지 및 PoC로, Apache Tomcat 9.0.121에서 발생하는 인증되지 않은 HTTP/2 요청 헤더 혼동(CWE-444) 취약점이며, 실습 재현 및 패치 지침을 포함합니다. | Kitploit
도구/GitHubGitHub/abraxas/cve-2026-86350
Vulnerability AnalysisExploitationWeb Application ExploitationWeb SecurityPenetration TestingLabs & Practice
GitHubabraxas/cve-2026-86350

CVE-2026-86350

CVE-2026-86350에 대한 공개 패키지 및 PoC로, Apache Tomcat 9.0.121에서 발생하는 인증되지 않은 HTTP/2 요청 헤더 혼동(CWE-444) 취약점이며, 실습 재현 및 패치 지침을 포함합니다.

저장소 보기
21일 전아직 검토되지 않음

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유

Abraxas Labs — CVE-2026-86350

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-86350

CVE-2026-86350

Apache Tomcat 9.0.121 — Apache Software Foundation

Apache Tomcat의 HTTP/2 요청 해석 불일치('HTTP Request/Response smuggling') 취약점으로, CVE-2026-41293 수정의 회귀(regression)로 인해 발생하며 요청 헤더 뒤섞임(request header mix-up)을 유발할 수 있습니다.

CVECVE-2026-86350 · CVE.org
CWECWE-444
CVSSCritical: 9.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
ProductApache Tomcat
Affected9.0.121까지 모든 버전(포함)
Patched9.0.122 및 이후
Auth인증 불필요 (소스 맵 참조)
LicenseGNU Affero GPL v3.0
Lab127.0.0.1 전용 · 벤더/클라이언트 공개 패키지이며 스캐너가 아님

권고 (소스 맵 기준)

java/org/apache/coyote/http2/HpackDecoder.java 및 HPackHuffman.java. 패치 9.0.122 커밋 5adadc4e / 11.0.26 192bc749는 초기 검증(early validation)을 되돌립니다.

진입점

  • Method: GET
  • Path: /header.jsp
  • Router: 인증되지 않은 HTTP/2 HEADERS. HpackDecoder/HPackHuffman는 디코딩 중에 검증합니다(CVE-2026-41293 리팩터링). 유효하지 않은 필드는 예외를 발생시키고, 이후 필드는 동적 테이블(dynamic table)을 건너뜁니다.
  • Notes: 인증 불필요 CVE-2026-86350 CWE-444 Tomcat 9.0.121. 증거(Witness): 동일 연결의 두 번째 스트림에서 GOAWAY/RST 또는 유효하지 않은 필드 이후 헤더 뒤섞임. 리버스 셸이 아닙니다.

호출 체인

  • HTTP/2 prior-knowledge preface to :8080 UpgradeProtocol Http2Protocol
  • HEADERS stream 1: invalid field value trailing space then x-lab-witness
  • HpackDecoder.readHpackString throws IllegalArgumentException mid-block
  • dynamic table missing the marker; stream 2 indexes the marker
  • decoder mix-up or COMPRESSION_ERROR / GOAWAY

랩 사전 조건

  • Tomcat 9.0.118-9.0.121 또는 10.1.55-59 또는 11.0.22-25
  • HTTP/2 활성화 (h2 또는 h2c)
  • 헤더 오라클용 examples 웹앱 존재 (Apache는 examples 제거도 완화책으로 명시)

증거(Witness)

스트림 1에서 유효하지 않은 HTTP/2 필드 이후, 스트림 2가 정상적인 200이 아님 (GOAWAY, RST, 또는 마커 뒤섞임).

성공이 아닌 경우

  • 스트림 1 RST 및 스트림 2 200 (패치된 9.0.122 동작)
  • HTTP/1.1 전용
  • 리버스 셸

패치 / 완화

먼저 할 일: Apache Tomcat을 9.0.122 이상으로 업데이트하십시오.

업그레이드 후 검증

  • 패치된 빌드에 대해 CVE-2026-86350-Abraxas-Labs.py를 다시 실행하십시오: 매핑된 증거가 나타나지 않아야 합니다.
  • 배포된 트리에서 벤더 권고 / 변경 집합(changeset)을 확인하십시오 (참조 항목 참조).
  • WAF 시그니처는 지연일 뿐 패치가 아닙니다.

즉시 업데이트할 수 없는 경우

  • 영향을 받는 구성 요소를 비활성화하거나 격리하십시오.
  • 프로덕션에서 증거 조건을 탐색하십시오 (새로운 권한 사용자, 예상치 못한 파일, 주입된 행 — 이 CVE의 맵이 명시하는 모든 것).

재현 (승인된 랩)

오직 http://127.0.0.1:8088 (또는 바인딩한 루프백)만 대상으로 하십시오. 이 스크립트를 인터넷을 향해 지정하지 마십시오.

root@kitploit:~
python3 CVE-2026-86350-Abraxas-Labs.py

성공은 응답 본문에 위의 **증거(witness)**가 나타나는 것입니다. 일반적인 200 HTML은 아닙니다.

랩 이미지

재현에 사용된 루프백 스택. 이 폴더의 Dockerfile이 소스에서 빌드하지 않는 한 공식 이미지를 사용합니다.

  • lab/docker-compose.yml
  • lab/Dockerfile
root@kitploit:~
cd lab
docker compose up --force-recreate

YAML이 로컬 디렉터리를 마운트하는 경우(버전 표의 플러그인 zip / 소스 태그) 취약한 제품 트리를 Compose 옆에 바인딩하십시오. 127.0.0.1 외에는 아무것도 게시하지 마십시오.

참조

  • CVE-2026-86350 · NVD

  • CVE-2026-86350 · CVE.org

  • tomcat.apache.org/security-9.html

  • lists.apache.org/thread/mss45z99lcdd5dtpgcn45dy82f3toswc

  • www.cve.org/CVERecord?id=CVE-2026-86350

  • github.com/apache/tomcat/commit/5adadc4ef413d5050f664d40800bbff74bd5d5ed

  • Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

레코드 (구조화)

root@kitploit:~
# CVE-2026-86350

CWE: CWE-444
CVSS: Critical 9.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N (CISA-ADP). Apache: Important.

## Description

A regression in the CVE-2026-41293 HTTP/2 header-validation refactor can mix request headers. Invalid HPACK fields abort decode so later fields never enter the dynamic table; the next stream on the connection then interprets indexes against a desynced table.

## Product

Apache Tomcat 9.0.121 (fixed in 9.0.122; also 10.1.60 and 11.0.26). Lab oracle is HPACK desync, not RCE.

라이선스

이 공개 패키지는 GNU Affero General Public License v3.0에 따라 라이선스됩니다. LICENSE를 참조하십시오.

면책 조항

이 패키지는 벤더, 사이트 소유자, 그리고 라이선스된 랩을 위한 것입니다. 스크립트는 127.0.0.1과 통신합니다. 소유하지 않은 시스템에 대해 사용하는 것은 Abraxas Labs에 의해 승인되지 않습니다. 보증은 없습니다.

abraxaslabs.tech · github.com/abraxas · @abraxas_null

도구 다운로드