CVE-2026-29000 Lab

مختبر Java/SparkJava يحاكي ثغرة التحقق من JWT/JWE المتعلقة بـ CVE-2026-29000. يعمل التطبيق على المنفذ 4567 ويوفر واجهات برمجية (API) لتجربة تدفق تسجيل الدخول الصحيح، إنشاء رمز مزيف، والتحقق من لوحة التحكم (dashboard).

معلومات عن CVE

يؤثر CVE-2026-29000 على pac4j-jwt في الإصدارات الأقدم من 4.5.9 و5.7.9 و6.3.3. تكمن الثغرة في JwtAuthenticator عند معالجة JWT/JWE المشفر، مما يسمح للمهاجم بتزوير رمز التحقق في بعض تدفقات المصادقة.

الإصدارات التي يجب ترقيتها على الأقل وفقًا للفرع المستخدم:

• 4.x: الترقية إلى 4.5.9 أو أحدث
• 5.x: الترقية إلى 5.7.9 أو أحدث
• 6.x: الترقية إلى 6.3.3 أو أحدث

المتطلبات

• Docker Desktop أو Docker Engine
• إضافة Docker Compose
• Java 17 و Maven إذا كنت تريد التشغيل المباشر دون استخدام Docker

التثبيت باستخدام Docker Compose

في المجلد الجذر للمشروع، قم بتشغيل:

docker compose up --build

بعد الانتهاء من البناء، افتح:

http://localhost:4567

إيقاف المختبر:

docker compose down

التثبيت باستخدام Docker CLI

بناء الصورة:

docker build -t cve-2026-29000-lab .

تشغيل الحاوية:

docker run --rm -p 4567:4567 --name cve-2026-29000-lab cve-2026-29000-lab

التحقق من المفتاح العام للخادم:

curl http://localhost:4567/api/public-key

التشغيل المباشر باستخدام Maven

الانتقال إلى مجلد lab:

cd lab

تشغيل التطبيق:

mvn exec:java

أو البناء أولاً ثم التشغيل باستخدام classpath:

mvn -DskipTests package dependency:copy-dependencies
java -cp "target/classes;target/dependency/*" com.demo.App

على Linux/macOS، استخدم : بدلاً من ;:

java -cp "target/classes:target/dependency/*" com.demo.App

واجهات API الأساسية

• GET / - إرشادات سريعة لخطوات العرض التوضيحي
• POST /api/login - إنشاء رمز صحيح
• POST /api/forge-token - إنشاء رمز لعرض الالتفاف (bypass)
• GET /api/dashboard - التحقق من الرمز الموجود في الترويسة Authorization: Bearer <token>
• GET /api/public-key - عرض المفتاح العام بصيغة JWK

أمثلة للاختبار السريع

تسجيل الدخول الصحيح:

curl -X POST http://localhost:4567/api/login \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"user_lucas\",\"role\":\"user\"}"

إنشاء رمز مزيف:

curl -X POST http://localhost:4567/api/forge-token \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"admin\",\"role\":\"administrator\"}"

هيكل المشروع

CVE-2026-29000-lab/
|-- Dockerfile
|-- docker-compose.yml
|-- lab/
|   |-- pom.xml
|   `-- src/main/java/com/demo/
|       |-- App.java
|       `-- VulnerableAuthenticator.java
`-- README.md

ملاحظات

هذا المختبر مخصص للتعلم والاختبار في بيئة محلية فقط. لا تقم بنشره علنًا أو استخدامه لاستهداف أنظمة غير مصرح بها.