CVE-2026-29000 – pac4j JWT-Authentifizierungs-Bypass (Python-PoC)

Python-Proof-of-Concept für CVE-2026-29000, einen kritischen Authentifizierungs-Bypass, der Anwendungen betrifft, die das pac4j JWT-Modul verwenden.

Die Schwachstelle ermöglicht es Angreifern, sich als beliebige Benutzer zu authentifizieren, indem sie ein bösartiges JWE-Token mit einem unsignierten PlainJWT (alg: none) senden.

🧠 Überblick über die Schwachstelle

pac4j-Anwendungen können den folgenden Token-Ablauf verwenden:

1. Der Benutzer authentifiziert sich über /api/auth/login
2. Der Server gibt ein verschlüsseltes JWT (JWE) zurück
3. Der Client sendet das Token als Bearer-Token
4. Der Server entschlüsselt das JWE und verifiziert die Signatur des inneren JWT

Aufgrund einer fehlerhaften Verarbeitung der JWT-Parsing-Logik gilt Folgendes, wenn das innere Token ein PlainJWT (unsigniertes Token) ist:

• toSignedJWT() gibt null zurück
• Die Signaturprüfung wird übersprungen
• Claims werden als vertrauenswürdig akzeptiert

Dies ermöglicht es einem Angreifer:

• beliebige Claims zu fälschen
• Privilegien zu eskalieren
• sich als Admin zu authentifizieren

⚠️ Auswirkungen

Ein Angreifer kann:

• Sich als beliebiger Benutzer authentifizieren
• Beliebige Rollen zuweisen
• Auf geschützte Endpunkte zugreifen
• Eine vollständige Privilegieneskalation erreichen

Es ist kein privater Schlüssel erforderlich – nur der öffentliche Schlüssel, der über JWKS bereitgestellt wird.

🧪 Proof of Concept

Dieses Repository stellt einen Python-PoC bereit, der:

• Den öffentlichen Schlüssel von einem JWKS-Endpunkt abruft
• Ein unsigniertes JWT erstellt
• Es in ein JWE-Token verpackt
• Ein bösartiges Bearer-Token generiert

📦 Anforderungen

Python 3.x

Abhängigkeiten installieren:

pip install jwcrypto requests

🚀 Verwendung

python3 poc.py \
--jwks http://target:8080/api/auth/jwks \
--user admin \
--role ROLE_ADMIN

Beispielausgabe:

=== Malicious JWE Token ===

eyJhbGciOiJSU0EtT0FFUC0yNTYiLCJlbmMiOiJBMTI4R0NNIiwiY3R5IjoiSldUIn0...

Verwenden Sie es als:

Authorization: Bearer <TOKEN>

⚠️ Haftungsausschluss

Dieses Repository dient ausschließlich Bildungs- und Forschungszwecken. Verwenden Sie diesen Code nicht gegen Systeme ohne entsprechende Autorisierung.

👨‍💻 Autor

Ali Hussainzada Application Security Researcher | Bug Hunter