CVE-2026-32136_exploit - Bypass de Autenticação via Upgrade h2c no AdGuard Home

Bypass de autenticação não autenticada no AdGuard Home < 0.107.73 via upgrade HTTP/2 em texto claro (h2c).

Vulnerabilidade

O servidor HTTP em internal/home/web.go envolve o middleware de autenticação fora de h2c.NewHandler. Quando um cliente envia uma requisição HTTP/1.1 com Upgrade: h2c para um caminho público (ex.: /login.html), o middleware de autenticação permite a passagem e h2c.NewHandler sequestra a conexão TCP para mudar para HTTP/2. Cada stream HTTP/2 que segue na conexão atualizada é despachada diretamente para o mux interno — sem jamais passar pelo middleware de autenticação. Qualquer endpoint admin /control/* pode então ser acessado sem autenticação no mesmo socket.

A correção move o middleware de autenticação para dentro do handler fornecido a h2c.NewHandler, de modo que os frames HTTP/2 após um upgrade em texto claro enfrentem a mesma verificação de autenticação que as requisições HTTP/1.1.

Notas

• curl --http2-prior-knowledge não aciona o bug — a camada HTTP/1.1 do servidor rejeita o prefácio HTTP/2 bruto com um 401.
• Fazer upgrade em /control/login também retorna 101 Switching Protocols, mas o 404 (endpoint apenas POST) no stream 1 envenena os streams subsequentes. Use um caminho estático que retorna 200 OK (ex.: /login.html).

Uso

# Kali / Debian / Ubuntu
sudo apt install -y python3-h2

python3 CVE-2026-32136.py <target-ip> [port] [path]

Padrões: port=80, path=/control/filtering/status.

Exemplo

$ python3 CVE-2026-32136.py 192.168.1.5 80 /control/filtering/status | jq .user_rules
[+] h2c upgrade successful — connection is now HTTP/2
[+] response status: 200
[
  "||tracking.corp.example^",
  "||analytics.internal.example^",
  ...
]

stdout é o corpo da resposta bruta; mensagens de status são escritas para stderr para que a saída seja canalizada limpidamente para jq.

Outros endpoints para testar

Mitigação

Atualize para AdGuard Home 0.107.73 ou superior.

Referências

• VulnTracker: https://vulntracker.io/cves/CVE-2026-32136
• GHSA: https://github.com/AdguardTeam/AdGuardHome/security/advisories/GHSA-5fg6-wrq4-w5gh
• Correção: https://github.com/AdguardTeam/AdGuardHome/commit/c003e9f9c04311a13ca7a873a8437f80711102a5
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-32136
• Lançamentos do AdGuard Home: https://github.com/AdguardTeam/AdGuardHome/releases

Aviso Legal

Esta prova de conceito é publicada para fins educacionais e de pesquisa defensiva. Não execute contra sistemas que você não possui ou para os quais não tem autorização explícita para testar.