CVE-2026-4282-Scanner

ماسح ضوئي غير تدخلي للثغرات الأمنية يعتمد على الإصدار، خاص بـ CVE-2026-4282، ويؤثر على Keycloak و Red Hat Build of Keycloak (RHBK).

⚠️ إخلاء المسؤولية: هذه الأداة مخصصة حصريًا لأبحاث الأمن المصرح بها، واختبار الاختراق، وإدارة الثغرات الدفاعية. لا تشغّلها إلا على الأنظمة التي تملكها أو لديك إذن كتابي صريح باختبارها. لا يقوم هذا الماسح الضوئي بأي استغلال — فهو يفحص فقط المعلومات المتاحة للعموم دون مصادقة لتحديد الإصدار قيد التشغيل.

حول الثغرة الأمنية

CVE-2026-4282 — عزل أو تقسيم غير صحيح (CWE-653)

يفتقر SingleUseObjectProvider في Keycloak، وهو مخزن مفاتيح وقيم عام يُستخدم داخليًا بواسطة خادم المصادقة، إلى العزل الصحيح للنوع والنطاق بين الكائنات المخزنة. ولأن الإدخالات من أنظمة فرعية داخلية مختلفة غير مفصولة بشكل كافٍ، يمكن لـ مهاجم غير مصادق عليه التلاعب بهذا المخزن المشترك لـ تزوير رموز تفويض OAuth2/OpenID Connect.

وبما أن رموز التفويض تُستبدل برموز وصول، يمكن استخدام رمز مزوّر لإصدار رموز وصول قادرة على الوصول الإداري، مما يؤدي إلى تصعيد كامل للصلاحيات داخل نسخة Keycloak — دون أن يحتاج المهاجم إلى بيانات اعتماد صالحة على الإطلاق.

• درجة CVSS 3.1 الأساسية: 7.4 (عالية) — متجه هجوم عبر الشبكة، لا يتطلب صلاحيات، لا يتطلب تفاعل المستخدم، تعقيد هجوم عالٍ
• CWE: CWE-653 — عزل أو تقسيم غير صحيح
• المكوّن المتأثر: SingleUseObjectProvider (مخزن KV عام)
• تم الإصلاح في: Keycloak / RHBK 26.5.7 وما بعده

المصادر الرسمية

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-4282
• إشعار Red Hat: https://access.redhat.com/security/cve/CVE-2026-4282
• Red Hat Bugzilla: https://bugzilla.redhat.com/show_bug.cgi?id=2448061
• ملاحظات إصدار Keycloak 26.5.7: https://www.keycloak.org/2026/04/keycloak-2657-released

ما الذي يفعله هذا الماسح الضوئي

1. يرسل طلب GET قياسيًا وغير مصادق عليه إلى نقاط نهاية Keycloak المعروفة (نفس حركة المرور التي يولّدها المتصفح عند تحميل صفحة تسجيل الدخول).
2. يؤكد أن الهدف يشغّل Keycloak فعليًا.
3. يحاول تحديد الإصدار المنشور من بيانات الاستجابة العامة (مسارات الأصول، الترويسات).
4. يقارن الإصدار المكتشف بالإصدار المُصلَّح المعروف (26.5.7) ويُبلّغ عمّا إذا كان الهدف عرضة للثغرة على الأرجح، أو مُرقّعًا على الأرجح، أو غير محدد.

ما لا يفعله:

• لا يزوّر رموز التفويض.
• لا يحاول تجاوز المصادقة.
• لا يرسل أي حمولات ضارة أو مشوّهة.

التثبيت (Linux)

sudo apt update
sudo apt install -y git python3 python3-pip
git clone https://github.com/hexissam/CVE-2026-4282-Scanner.git
cd CVE-2026-4282-Scanner
pip3 install -r requirements.txt

الاستخدام

python3 scanner.py -u https://sso.example.com

الخيارات

مثال على المخرجات

[*] Target: https://sso.example.com
[*] Timestamp: 2026-08-09T12:00:00
[+] Confirmed the target is running Keycloak.
[*] Detected version: 26.5.4 (source: /admin/master/console/)

[-] Version 26.5.4 may be VULNERABLE to CVE-2026-4282 (older than 26.5.7).
[!] It is recommended to upgrade immediately to Keycloak 26.5.7 or later,
    or review the official Red Hat advisory referenced in README.md.

[*] This scan relies solely on public, non-interactive data.
    No exploit payload or authentication bypass attempt was sent.

المعالجة

• قم بترقية Keycloak / RHBK إلى الإصدار 26.5.7 أو أحدث.
• إذا لم يكن الترقية الفورية ممكنة، راقب سجلات المصادقة بحثًا عن أنماط غير طبيعية لاستبدال رموز التفويض، وقيّد التعرض الشبكي لوحدة تحكم إدارة Keycloak.
• راجع إشعار Red Hat الرسمي للحصول على أي إرشادات تخفيف إضافية.

إشعار قانوني

يُقدَّم هذا المشروع لأغراض تعليمية وأبحاث أمنية مصرح بها فقط. المؤلف غير مسؤول عن أي سوء استخدام أو ضرر ناتج عن هذه الأداة. يُعد الفحص أو الاختبار غير المصرح به للأنظمة التي لا تملكها أو ليس لديك إذن صريح بتقييمها غير قانوني في معظم الولايات القضائية.

الشكر والتقدير

تم التطوير بواسطة: issam junior (@hexissam) تم اكتشاف/الإفصاح عن الثغرة بواسطة: Red Hat, Inc.