CVE-2026-60206 - إطار عمل ومجموعة أدوات استغلال تجاوز مصادقة SAML في Oracle WebLogic

Oracle WebLogic Server — تجاوز مصادقة SAML → الاستيلاء على حساب المسؤول

إطار عمل استغلال وماسح ضوئي شامل
لأغراض اختبار الاختراق المصرح به فقط.

---

⚖️ إخلاء المسؤولية القانونية والاستخدام المسؤول

تم توفير هذه الأداة لأغراض تعليمية ولاختبار الاختراق المصرح به فقط.

المؤلفون والمساهمون غير مسؤولين عن أي إساءة استخدام أو ضرر ناتج عن هذا البرنامج. يتحمل المستخدمون وحدهم مسؤولية التأكد من حصولهم على إذن كتابي صريح من مالك الهدف قبل الاختبار. الوصول غير المصرح به إلى أنظمة الكمبيوتر غير قانوني بموجب قانون الاحتيال وإساءة استخدام الحاسوب (CFAA) والقوانين المماثلة في جميع أنحاء العالم.

باستخدامك لهذا البرنامج، فأنت توافق على:

• استخدامه فقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها.
• الامتثال لجميع القوانين المحلية والولائية والاتحادية المعمول بها.
• عدم استخدامه في أي أنشطة ضارة أو تخريبية أو غير قانونية.

⚠️ تحذير: يتم استغلال هذه الثغرة بنشاط في البيئات الحقيقية. قد يؤدي الاستخدام غير المصرح به إلى عواقب قانونية وخيمة.

---

[+!] نظرة عامة على الثغرة

CVE-2026-60206 هي ثغرة حرجة لتجاوز المصادقة دون الحاجة إلى مصادقة مسبقة في تطبيق SAML (لغة ترميز تأكيد الأمان) في خادم Oracle WebLogic Server. وهي تسمح للمهاجمين عن بُعد بتجاوز مصادقة SAML والحصول على وصول إداري إلى وحدة تحكم WebLogic دون بيانات اعتماد صالحة.

كيف تعمل:

1. حقن SAML: تنبع الثغرة من التحقق غير السليم من تأكيدات SAML. يمكن للمهاجمين صياغة استجابات SAML خبيثة تتجاوز فحوصات المصادقة.

2. تجاوز التوقيع: تسمح الثغرة بتجاوز التحقق من توقيع XML عبر هجمات تغليف توقيع XML (XSW)، حيث يقوم المهاجمون بتغليف تأكيدات خبيثة بتوقيعات شرعية.

3. التلاعب بـ NameID: يمكن للمهاجمين حقن تعليقات أو التلاعب بحقل NameID لانتحال هوية المستخدمين المميزين.

4. الوصول الإداري: يمنح الاستغلال الناجح المهاجم وصولاً إدارياً إلى وحدة تحكم خادم WebLogic مع سيطرة كاملة.

حقائق أساسية:

الخاصية	القيمة
📅 تاريخ الاكتشاف	يوليو 2026 (Oracle CPU)
⚠️ درجة CVSS	9.9 (حرجة)
📋 CISA KEV	أُضيف في 21 يوليو 2026
🎯 المنتجات المتأثرة	Oracle WebLogic Server (Fusion Middleware)
🔄 الإصدارات المُصلَّحة	Oracle CPU يوليو 2026
🔓 المصادقة	غير مطلوبة (قبل المصادقة)
🌍 الاستغلال النشط	مؤكد في البيئات الحقيقية (يوليو 2026)

---

🛠️ إطار عمل الاستغلال

يجمع الاستغلال التعليمي متعدد النواقل الشامل عدة نواقل هجوم SAML لتحقيق تجاوز المصادقة، مع ميزات متقدمة للمسح الشامل وسرقة ملفات تعريف الارتباط والوصول الإداري.

✨ الميزات

الميزة	الوصف
🚀 استغلال متعدد النواقل	7 نواقل هجوم: unsigned, xsw_v1-4, nameid, combo
💻 مسح شامل	مسح متزامن مع تجمع خيوط (Python) / FIFO (Bash)
🔐 سرقة ملفات تعريف الارتباط	يسرق JSESSIONID لاختطاف الجلسات
👑 الوصول إلى وحدة التحكم الإدارية	وصول إداري كامل إلى وحدة تحكم WebLogic
📁 اكتشاف الإصدار	يكتشف إصدارات WebLogic وحالة الثغرة الأمنية
🌐 مسح دفعات	استغلال جماعي لأهداف متعددة مع خيوط المعالجة
🎯 اكتشاف آمن	علامة --detect اختيارية للتحقق غير التطفلي من الثغرة
🧩 تكامل Shodan	تحميل الأهداف مباشرة من بحث Shodan
🔍 دعم Tor	إخفاء هوية المسح عبر وكيل Tor
📊 صيغ إخراج متعددة	إخراج متدفق بصيغ JSON وCSV وJSONL
🪟 متعدد المنصات	يدعم Linux وmacOS وBSD وAlpine وWSL
🔒 آمن للخيوط	يستخدم آليات قفل للعمليات المتزامنة
📋 حفظ الجلسة تلقائياً	يحفظ ملفات تعريف الارتباط الناجحة لاستخدامها لاحقاً
⚙️ تجاوز WAF	تدوير User-Agent وتأخيرات عشوائية

نواقل الهجوم

الناقل	الوصف
unsigned	تأكيد SAML غير مصادق عليه بدون توقيع
xsw_v1	تغليف توقيع XML - تأكيدات متعددة
xsw_v2	XSW - تجاوز التوقيع المُغلَّف
xsw_v3	XSW - التلاعب بمساحات الأسماء
xsw_v4	XSW - حقن تأكيدات متعددة
nameid	حقن تعليقات في NameID
combo	هجوم مدمج (unsigned + XSW + NameID)

---

🕵️ المُتحقق الآمن (--detect)

يقوم المُتحقق الآمن باكتشاف غير تطفلي للثغرة دون تنفيذ حمولات ضارة أو إجراء تغييرات على النظام.

✨ الميزات

الميزة	الوصف
🔍 اكتشاف WebLogic	يحدد نسخ WebLogic عبر LoginForm.jsp
📊 اكتشاف الإصدار	يكتشف إصدارات WebLogic المحددة ومستويات التصحيحات
🧪 اكتشاف نقاط نهاية SAML	يختبر نقاط نهاية SAML ACS
🔒 غير تطفلي	يحدد الإصدارات المعرضة للثغرة فقط
📋 إخراج JSON/CSV	تصدير النتائج للتقارير
🔄 مسح شامل	مسح أهداف متعددة مع دعم خيوط المعالجة

---

📦 التثبيت والمتطلبات

المتطلبات الأساسية

• Python 3.6+ أو Bash 3.2+
• curl (لنسخة Bash)
• pip (لمكتبة requests، لنسخة Python)

تثبيت التبعيات

# Python version
pip install requests urllib3

# Optional: Shodan support
pip install shodan

# Bash version: curl only (no additional dependencies)

[!NOTE] تعمل نسخة Bash باستخدام curl فقط دون أي تبعيات خارجية. تتطلب نسخة Python مكتبتي requests وurllib3 (اختياري: shodan لتكامل Shodan).

---

🚀 أمثلة الاستخدام

[1] إطار عمل الاستغلال بلغة Python (exploit.py)

# Single target exploit (combo mode)
python exploit.py -u https://192.168.1.100:7002 --exploit --user admin

# Exploit with all attack vectors
python exploit.py -u https://192.168.1.100:7002 --mode all --exploit -v

# Mass scanning from file (50 threads)
python exploit.py -l targets.txt --exploit -t 50 -o results.json

# Safe detection only (non-intrusive)
python exploit.py -l targets.txt --detect -o scan_results.csv

# Shodan integration
export SHODAN_API_KEY="your_api_key"
python exploit.py --shodan --shodan-query "WebLogic Server port:7002" --exploit

# Tor anonymized scanning
python exploit.py -l targets.txt --exploit --tor -t 20

# Proxy support
python exploit.py -u https://192.168.1.100:7002 --exploit --proxy http://127.0.0.1:8080

# Streaming JSONL output (memory efficient for large scans)
python exploit.py -l targets.txt --exploit -o results.jsonl

# Quiet mode (minimal output)
python exploit.py -l targets.txt --exploit -q -o results.json

# Custom timeout and retry
python exploit.py -u https://192.168.1.100:7002 --exploit --timeout 20 --retry 5 --delay 2.0

# SSL verification bypass
python exploit.py -u https://192.168.1.100:7002 --exploit --no-verify

# Verbose debugging
python exploit.py -u https://192.168.1.100:7002 --exploit -v

[2] إطار عمل الاستغلال بلغة Bash (exploit.sh)

# Single target exploit
./exploit.sh -u https://192.168.1.100:7002 --exploit --user admin