CVE-2026-60206 – إثبات مفهوم لتجاوز مصادقة SAML في Oracle WebLogic Server

يوفر هذا المستودع كود استغلال لإثبات المفهوم لثغرة CVE‑2026‑60206، وهي ثغرة حرجة لتجاوز المصادقة في تنفيذ SAML الخاص بـ Oracle WebLogic Server. تسمح هذه الثغرة لمهاجم بعيد منخفض الصلاحيات باختراق الخادم بالكامل عن طريق تزوير تأكيدات SAML.

⚠️ إخلاء مسؤولية: هذه الأداة مخصصة للبحث والاختبار الأمني المصرَّح به فقط. استخدمها فقط ضد الأنظمة التي تملكها أو لديك إذن صريح لاختبارها. لا يتحمل المؤلفون أي مسؤولية عن إساءة الاستخدام.

🔥 نظرة عامة على الثغرة

تؤثر CVE‑2026‑60206 على المكوّن الأساسي (Core) في Oracle WebLogic Server. يعود أصل الثغرة إلى المعالجة غير السليمة للمصادقة في تنفيذ بروتوكول SAML. تتيح نواقل هجوم متعددة — مثل التفاف توقيع XML (XSW)، وقبول التأكيدات غير الموقعة، والتلاعب بـ NameID، وتجاوز قيود الجمهور/الشروط — للمهاجم انتحال شخصية مستخدمين عشوائيين (مثل: weblogic) والحصول على وصول إداري.

الإصدارات المتأثرة:

• 12.2.1.4.0
• 14.1.1.0.0
• 14.1.2.0.0
• 15.1.1.0.0

ينفّذ إثبات المفهوم (PoC) نواقل الهجوم التالية:

• التفاف توقيع XML (XSW) – تلاعب بنيوي يجعل معالج SAML يقبل تأكيدًا غير موقّع.
• حقن تأكيد غير موقّع – إنشاء استجابة SAML غير موقعة تمامًا (إذا لم يكن WantAssertionsSigned مفعَّلاً).
• التلاعب بـ NameID – إرباك محدد الهوية (identity mapper) عبر تعليقات XML أو المسافات البيضاء أو إرباك التنسيق.
• تجاوز قيد الجمهور (Audience Restriction) – إزالة عنصر AudienceRestriction أو تعديله لتوسيع النطاق.
• تجاوز الشروط/الوقت – التلاعب بـ NotBefore/NotOnOrAfter لتجاوز فحوصات الصلاحية.
• الهجوم المركّب – XSW + تأكيد داخلي غير موقّع + تلاعب بـ NameID (الأكثر ترجيحًا للنجاح).
• إعادة التشغيل (Replay) – إعادة إرسال استجابة SAML ملتقطة مع تعديل الوجهة/المستلم.

✨ الميزات

• أوضاع هجوم متعددة – اختر من بين all, unsigned, xsw, nameid, audience, conditions, combo أو replay.
• فحص جماعي – اكتشاف متزامن واستغلال اختياري عبر أهداف متعددة (عبر -l).
• اكتشاف الإصدار – تحديد بصمة إصدار WebLogic بدقة عبر الترويسات وصفحات الأخطاء و WSDL.
• استكشاف نقاط نهاية SAML – اكتشاف تلقائي لنقاط نهاية ACS وبيانات التعريف (metadata) ونقاط نهاية بدء SP (SP‑initiated).
• دعم Tor – توجيه حركة المرور عبر Tor (SOCKS5/HTTP/SOCKS4) لإخفاء الهوية.
• إعادة إرسال طلبات HTTP خام – إرسال طلبات HTTP خام عشوائية من ملف (-r).
• دعم HTTP/2 – يستخدم httpx تلقائيًا إذا كان مثبتًا، ويعود إلى requests (HTTP/1.1) كخيار احتياطي.
• تدوير User‑Agent – استخدام User‑Agent عشوائي أو مخصص.
• دعم الوكيل (Proxy) – إرسال جميع الطلبات عبر وكيل HTTP/SOCKS.
• تخصيص الطلبات – ضبط المهلات وعدد مرات إعادة المحاولة والتأخيرات وتعطيل عمليات إعادة التوجيه وإعادة المحاولة عند تطابق نمط regex.
• حفظ الحمولات – حفظ حمولات SAML المولدة على القرص (--save-payloads).
• فحص الثغرة (-c / --check) – تحديد سريع لما إذا كان الهدف عرضة للثغرة (بدون استغلال).
• إخراج تقرير JSON/CSV – نتائج منظمة للفحوصات الجماعية.
• تسجيل مفصّل – مخرجات تصحيح تفصيلية مع وحدة تحكم ملوّنة.

📦 التثبيت

git clone https://github.com/Debajyoti0-0/CVE-2026-60206.git
cd CVE-2026-60206
pip install -r requirements.txt

مطلوب: requests, urllib3

اختياري (يحسّن الوظيفة):

• httpx – لدعم HTTP/2
• lxml – لتحسين تحليل SAML
• signxml, cryptography – للتعامل مع التوقيعات (غير مطلوبة للاستغلال)

🚀 الاستخدام

هدف واحد – اكتشاف فقط

python CVE-2026-60206.py -t https://192.168.1.100:7002 --detect

هدف واحد – تشغيل جميع نواقل الهجوم

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode all -u weblogic

هدف واحد – وضع هجوم محدد

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode combo -u admin

فحص جماعي – اكتشاف الإصدارات من ملف

python CVE-2026-60206.py -l targets.txt -o results.json

فحص جماعي – اكتشاف + استغلال

python CVE-2026-60206.py -l targets.txt --exploit -o results.csv --threads 20

إعادة إرسال استجابة SAML ملتقطة

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode replay --replay-file captured.xml

استخدام Tor والتحقق من الاتصال

python CVE-2026-60206.py -t https://192.168.1.100:7002 --tor --check-tor

إرسال طلب HTTP خام من ملف

python CVE-2026-60206.py -t https://192.168.1.100:7002 -r request.txt --method POST

فحص سريع للثغرة (بدون استغلال)

python CVE-2026-60206.py -t https://192.168.1.100:7002 -c

⚙️ مرجع الخيارات

الخيارات العامة:

Flag	الوصف
-h, --help	عرض رسالة المساعدة والخروج.
--proxy PROXY	عنوان URL للوكيل (يُتجاوز بواسطة --tor إذا استُخدم).
--no-verify	تعطيل التحقق من شهادة SSL.
--cookie COOKIE	ملفات تعريف ارتباط الجلسة (مثل: name=value; name2=value2).
--auth AUTH	بيانات اعتماد المصادقة الأساسية (USER:PASS).

الهدف:

Flag	الوصف
-t, --target TARGET	عنوان URL لهدف واحد (مثل: https://host:7002).
-l, --list LIST	ملف قائمة الأهداف للفحص الجماعي، أو عنوان URL واحد.
-f, --file FILE	اسم مستعار لـ --list.

خيارات الطلب:

Flag	الوصف
-r, --requestfile REQUESTFILE	تحميل طلب HTTP خام من ملف (يحل محل هجمات SAML).
--method METHOD	طريقة HTTP التي سيتم استخدامها (للطلب الخام أو طلب واحد؛ الافتراضي: GET).
--random-agent	استخدام User‑Agent عشوائي من القائمة المدمجة.
-A, --user-agent USER_AGENT	قيمة مخصصة لترويسة User‑Agent.
--tor	استخدام شبكة إخفاء الهوية Tor (SOCKS5 افتراضيًا).
--tor-port TOR_PORT	منفذ وكيل Tor (الافتراضي: 9050).
--tor-type {HTTP,SOCKS4,SOCKS5}	نوع وكيل Tor (الافتراضي: SOCKS5).
--check-tor	التحقق من أن Tor يُستخدم بشكل صحيح (يخرج مع الحكم).
--delay DELAY	التأخير بالثواني بين كل طلب.
--timeout TIMEOUT	المهلة بالثواني (الافتراضي: 30).
--retries RETRIES	عدد مرات إعادة المحاولة عند انتهاء المهلة/الأخطاء (الافتراضي: 3).
--retry-on RETRY_ON	إعادة محاولة الطلب إذا تطابق محتوى الاستجابة مع نمط regex (مثل: 'captcha').
-dr, --disable-redirects	تعطيل تتبع عمليات إعادة توجيه HTTP.

إعدادات الهجوم:

Flag	الوصف
-m, --mode {all,detect,unsigned,xsw,nameid,audience,conditions,combo,replay}	وضع الهجوم (الافتراضي: all).
--detect	اكتشاف إصدار WebLogic وإعدادات SAML فقط (بدون هجوم).
-c, --check	فحص سريع للثغرة (اكتشاف فقط، يخرج مع الحكم).
-u, --user USER	المستخدم الهدف لانتحال شخصيته (الافتراضي: weblogic).
--groups GROUPS	المجموعات التي ستُدرج في تأكيد SAML (الافتراضي: Administrators,Monitors).
--issuer ISSUER	معرّف كيان المُصدِر (Issuer) في SAML.
--audience AUDIENCE	معرّف كيان الجمهور (Audience) في SAML.
--relay-state RELAY_STATE	معامل RelayState لإرسال SAML عبر POST.
--base64	ترميز استجابة SAML بترميز Base64 في POST.
--extra-attrs [NAME=VALUE ...]	سمات SAML إضافية (مثل: role=admin).
--replay-file REPLAY_FILE	مسار استجابة SAML ملتقطة لإعادة الإرسال.
--save-payloads	حفظ حمولات SAML المولدة في ./payloads/.
--continue-on-success	مواصلة الاختبار بعد نجاح الهجوم.

الفحص الجماعي (مع -l):

Flag	الوصف
--exploit	اختبار تأكيد SAML غير الموقّع (الافتراضي: اكتشاف فقط).
-T, --threads THREADS	الخيوط المتزامنة (الافتراضي: 10).

المخرجات:

Flag	الوصف
-v, --verbose	زيادة مستوى التفصيل (مخرجات تصحيح).
-q, --quiet	كتم المخرجات غير الأساسية.
--list-modes	عرض جميع أوضاع الهجوم مع أوصافها ثم الخروج.
-o, --output OUTPUT	كتابة تقرير JSON أو CSV إلى ملف.

🧪 الأوضاع بالتفصيل

detect

ينفّذ اكتشاف الإصدار واستكشاف نقاط نهاية SAML. لا يتم إطلاق أي هجوم.