CVE-2026-23918 - PoC do mod_http2 do Apache httpd

Este repositório contém uma implementação de prova de conceito escrita em Go para um cenário de corrupção de memória pré-autenticação que afeta o Apache httpd com mod_http2. O código neste repositório demonstra uma abordagem de spray-and-trigger contra um alvo vulnerável e é destinado a pesquisas de segurança autorizadas, testes e análise defensiva.

Visão Geral

O projeto foca em um exploit de prova de conceito para CVE-2026-23918 e fornece uma implementação em um único arquivo em exploit_poc.go. O programa:

• Constrói um payload de requisição HTTP maliciosa
• Realiza atividade de memory spray contra um serviço alvo
• Envia uma sequência de trigger HTTP/2
• Tenta executar um comando fornecido através do caminho de execução vulnerável

Este repositório não se destina ao uso não autorizado contra sistemas de terceiros.

Estrutura do Projeto

• exploit_poc.go - Implementação principal em Go do PoC
• go.mod - Definição do módulo Go
• exploit - Artefatos relacionados ao projeto ou ativos auxiliares
• images - Capturas de tela ou imagens de suporte

Pré-requisitos

Antes de compilar ou executar o PoC, garanta que os seguintes itens estejam disponíveis:

• Go 1.26.4 ou uma versão mais recente compatível
• Privilégios de root se estiver usando extração automática de endereço de memória via /proc//mem
• Acesso de rede à instância alvo do Apache httpd
• Um ambiente de teste que você está autorizado a avaliar

Compilação e Instalação Inicial

Compile o binário com o seguinte comando:

git clone https://github.com/gagaltotal/CVE-2026-23918-Double-free-Apache-httpd-mod_http2
cd CVE-2026-23918-Double-free-Apache-httpd-mod_http2
go mod init CVE-2026-23918-Double-free-Apache-httpd-mod_http2
go mod tidy
go run exploit_poc.go
go build -o exploit exploit_poc.go

Isso gera um executável chamado exploit na raiz do projeto.

Uso

O PoC suporta dois modos operacionais:

1. Modo automático com extração de endereço baseada em PID

Este modo requer acesso root e extrai automaticamente os endereços de memória necessários do processo worker Apache alvo.

sudo ./exploit \
  --pid 1234 \
  --host 192.168.1.100 \
  --port 443 \
  --cmd "id > /tmp/pwned"

2. Modo manual com endereços explícitos

Este modo requer que os endereços da função system e do slot de requisição do scoreboard sejam fornecidos manualmente.

./exploit \
  --host 192.168.1.100 \
  --port 443 \
  --system 0x7f1234567890 \
  --scoreboard 0x7f1234000000 \
  --cmd "id > /tmp/pwned"

Opções de Linha de Comando

As principais opções são:

• --host - Hostname ou endereço IP do alvo
• --port - Porta do alvo (padrão: 443)
• --workers - Número de threads de spray (padrão: 32)
• --cmd - Comando a executar no alvo
• --pid - ID do processo worker Apache para extração automática de endereço de memória
• --system - Endereço do símbolo system no modo manual
• --scoreboard - Endereço do slot de requisição do scoreboard no modo manual

Exemplos de Comandos

Extrair automaticamente e executar um comando

sudo ./exploit --pid 1234 --host 10.0.0.20 --cmd "whoami"

Modo manual com endereços explícitos

./exploit \
  --host 10.0.0.20 \
  --system 0x7f1234567890 \
  --scoreboard 0x7f1234000000 \
  --cmd "uname -a"

Notas

• O exploit pode travar ou desestabilizar o serviço alvo.
• Use apenas contra sistemas que você possui ou que está explicitamente autorizado a testar.
• O programa trata SIGINT e SIGTERM para parar o loop de spray de forma graciosa.

Uso Responsável

Este repositório é fornecido para fins educacionais e avaliação de segurança defensiva. Qualquer uso fora de um ambiente controlado e autorizado é desencorajado e pode violar leis ou políticas aplicáveis.