CVE-2026-4282-Scanner

Ein nicht-intrusiver, versionsbasierter Schwachstellen-Scanner für CVE-2026-4282, der Keycloak und Red Hat Build of Keycloak (RHBK) betrifft.

⚠️ Haftungsausschluss: Dieses Tool ist ausschließlich für autorisierte Sicherheitsforschung, Penetrationstests und defensive Schwachstellenverwaltung bestimmt. Führen Sie es nur gegen Systeme aus, die Sie besitzen oder für die Sie eine ausdrückliche schriftliche Genehmigung zum Testen haben. Dieser Scanner führt keine Ausnutzung durch — er untersucht lediglich öffentlich bereitgestellte, nicht authentifizierte Informationen, um die ausgeführte Version zu identifizieren.

Über die Schwachstelle

CVE-2026-4282 — Unzureichende Isolation oder Segmentierung (CWE-653)

Keycloaks SingleUseObjectProvider, ein globaler Schlüssel-Wert-Speicher, der intern vom Authentifizierungsserver verwendet wird, weist keine ordnungsgemäße Typ- und Namensraum-Isolation zwischen gespeicherten Objekten auf. Da Einträge aus verschiedenen internen Subsystemen nicht ausreichend voneinander getrennt werden, kann ein nicht authentifizierter Angreifer diesen gemeinsamen Speicher manipulieren, um OAuth2/OpenID-Connect-Autorisierungscodes zu fälschen.

Da Autorisierungscodes gegen Zugriffstokens eingetauscht werden, kann ein gefälschter Code verwendet werden, um Zugriffstokens mit Admin-Rechten zu erzeugen, was zu einer vollständigen Privilegieneskalation innerhalb der Keycloak-Instanz führt — ohne dass der Angreifer jemals gültige Anmeldedaten benötigt.

• CVSS 3.1 Basis-Score: 7.4 (Hoch) — Netzwerk-Angriffsvektor, keine Berechtigungen erforderlich, keine Benutzerinteraktion, hohe Angriffskomplexität
• CWE: CWE-653 — Unzureichende Isolation oder Segmentierung
• Betroffene Komponente: SingleUseObjectProvider (globaler KV-Speicher)
• Behoben in: Keycloak / RHBK 26.5.7 und später

Offizielle Quellen

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-4282
• Red-Hat-Advisory: https://access.redhat.com/security/cve/CVE-2026-4282
• Red Hat Bugzilla: https://bugzilla.redhat.com/show_bug.cgi?id=2448061
• Keycloak-26.5.7-Versionshinweise: https://www.keycloak.org/2026/04/keycloak-2657-released

Was dieser Scanner tut

1. Sendet eine standardmäßige, nicht authentifizierte GET-Anfrage an bekannte Keycloak-Endpunkte (denselben Traffic, den ein Browser beim Laden der Anmeldeseite erzeugt).
2. Bestätigt, dass das Ziel tatsächlich Keycloak ausführt.
3. Versucht, die eingesetzte Version anhand öffentlicher Antwortdaten (Asset-Pfade, Header) zu identifizieren.
4. Vergleicht die erkannte Version mit der bekannten korrigierten Version (26.5.7) und meldet, ob das Ziel wahrscheinlich verwundbar, wahrscheinlich gepatcht oder unbestimmt ist.

Was es NICHT tut:

• Es fälscht keine Autorisierungscodes.
• Es versucht keine Authentifizierungsumgehung.
• Es sendet keine bösartigen oder fehlerhaften Payloads.

Installation (Linux)

sudo apt update
sudo apt install -y git python3 python3-pip
git clone https://github.com/hexissam/CVE-2026-4282-Scanner.git
cd CVE-2026-4282-Scanner
pip3 install -r requirements.txt

Verwendung

python3 scanner.py -u https://sso.example.com

Optionen

Beispielausgabe

[*] Target: https://sso.example.com
[*] Timestamp: 2026-08-09T12:00:00
[+] Confirmed the target is running Keycloak.
[*] Detected version: 26.5.4 (source: /admin/master/console/)

[-] Version 26.5.4 may be VULNERABLE to CVE-2026-4282 (older than 26.5.7).
[!] It is recommended to upgrade immediately to Keycloak 26.5.7 or later,
    or review the official Red Hat advisory referenced in README.md.

[*] This scan relies solely on public, non-interactive data.
    No exploit payload or authentication bypass attempt was sent.

Behebung

• Aktualisieren Sie Keycloak / RHBK auf Version 26.5.7 oder später.
• Falls ein sofortiges Upgrade nicht möglich ist, überwachen Sie die Authentifizierungsprotokolle auf auffällige Muster bei der Einlösung von Autorisierungscodes und beschränken Sie die Netzwerkexposition der Keycloak-Admin-Konsole.
• Prüfen Sie das offizielle Red-Hat-Advisory auf weitere Hinweise zur Schadensbegrenzung.

Rechtlicher Hinweis

Dieses Projekt dient ausschließlich Bildungs- und autorisierten Sicherheitsforschungszwecken. Der Autor ist nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Tool verursacht werden. Nicht autorisiertes Scannen oder Testen von Systemen, die Sie nicht besitzen oder für die Sie keine ausdrückliche Genehmigung zur Bewertung haben, ist in den meisten Rechtsordnungen illegal.

Danksagungen

Entwickelt von: issam junior (@hexissam) Schwachstelle entdeckt/offengelegt von: Red Hat, Inc.