CVE-2026-60206 – Oracle WebLogic SAML-Authentifizierungs-Bypass – Exploit-Framework-Toolkit

Oracle WebLogic Server – SAML-Authentifizierungs-Bypass → Admin-Übernahme

Exploit-Framework & Massen-Scanner
Nur für autorisierte Sicherheitstests.

---

⚖️ Rechtlicher Haftungsausschluss & verantwortungsvolle Nutzung

Dieses Tool wird ausschließlich für Bildungszwecke und autorisierte Penetrationstests bereitgestellt.

Die Autoren und Mitwirkenden sind nicht für Missbrauch oder Schäden verantwortlich, die durch diese Software verursacht werden. Die Benutzer sind allein dafür verantwortlich, dass sie vor dem Testen die ausdrückliche schriftliche Genehmigung des Eigentümers des Zielsystems einholen. Unbefugter Zugriff auf Computersysteme ist nach dem Computer Fraud and Abuse Act (CFAA) und ähnlichen Gesetzen weltweit illegal.

Durch die Nutzung dieser Software erklären Sie sich damit einverstanden:

• Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Testgenehmigung haben.
• Halten Sie alle geltenden lokalen, staatlichen und bundesrechtlichen Gesetze ein.
• Verwenden Sie es nicht für böswillige, destruktive oder illegale Aktivitäten.

⚠️ WARNUNG: Diese Schwachstelle wird aktiv in freier Wildbahn ausgenutzt. Unbefugte Nutzung kann zu schwerwiegenden rechtlichen Konsequenzen führen.

---

[+!] Schwachstellenübersicht

CVE-2026-60206 ist eine kritische Schwachstelle für einen nicht authentifizierten Authentifizierungs-Bypass in der SAML-Implementierung (Security Assertion Markup Language) des Oracle WebLogic Servers. Sie ermöglicht es entfernten Angreifern, die SAML-Authentifizierung zu umgehen und ohne gültige Anmeldedaten administrativen Zugriff auf die WebLogic-Konsole zu erlangen.

So funktioniert es:

1. SAML-Injection: Die Schwachstelle beruht auf einer mangelhaften Validierung von SAML-Assertions. Angreifer können bösartige SAML-Antworten erstellen, die die Authentifizierungsprüfungen umgehen.

2. Signatur-Bypass: Die Schwachstelle ermöglicht es, die XML-Signaturvalidierung durch XML-Signature-Wrapping-Angriffe (XSW) zu umgehen, bei denen Angreifer bösartige Assertions mit legitimen Signaturen umhüllen.

3. NameID-Manipulation: Angreifer können Kommentare injizieren oder das NameID-Feld manipulieren, um sich als privilegierte Benutzer auszugeben.

4. Admin-Zugriff: Eine erfolgreiche Ausnutzung verschafft dem Angreifer administrativen Zugriff auf die WebLogic-Server-Konsole mit voller Kontrolle.

Wichtige Fakten:

Attribut	Wert
📅 Entdeckt	Juli 2026 (Oracle-CPU)
⚠️ CVSS-Score	9.9 (KRITISCH)
📋 CISA KEV	Hinzugefügt am 21. Juli 2026
🎯 Betroffene Produkte	Oracle WebLogic Server (Fusion Middleware)
🔄 Behobene Versionen	Oracle-CPU Juli 2026
🔓 Authentifizierung	Nicht erforderlich (Pre-Auth)
🌍 Aktive Ausnutzung	In freier Wildbahn bestätigt (Juli 2026)

---

🛠️ Exploit-Framework

Das komplette Multi-Exploit zu Bildungszwecken verkettet mehrere SAML-Angriffsvektoren, um einen Authentifizierungs-Bypass zu erreichen, mit erweiterten Funktionen für Massen-Scanning, Cookie-Diebstahl und administrativen Zugriff.

✨ Funktionen

Funktion	Beschreibung
🚀 Multi-Vektor-Exploit	7 Angriffsvektoren: unsigned, xsw_v1-4, nameid, combo
💻 Massen-Scanning	Gleichzeitiges Scannen mit Thread-Pool (Python) / FIFO (Bash)
🔐 Cookie-Diebstahl	Entwendet JSESSIONID für Session-Hijacking
👑 Admin-Konsolenzugriff	Vollständiger administrativer Zugriff auf die WebLogic-Konsole
📁 Versionserkennung	Erkennt WebLogic-Versionen und Schwachstellenstatus
🌐 Batch-Scanning	Massen-Exploit mehrerer Ziele mit Threading
🎯 Sichere Erkennung	Optionales --detect-Flag zur nicht-intrusiven Schwachstellenverifizierung
🧩 Shodan-Integration	Lädt Ziele direkt aus der Shodan-Suche
🔍 Tor-Unterstützung	Anonymisiert Scans mit Tor-Proxy
📊 Mehrere Ausgabeformate	JSON-, CSV-, JSONL-Streaming-Ausgabe
🪟 Plattformübergreifend	Unterstützt Linux, macOS, BSD, Alpine, WSL
🔒 Thread-sicher	Verwendet Sperrmechanismen für parallele Vorgänge
📋 Automatisches Speichern von Sessions	Speichert erfolgreiche Cookies für die spätere Verwendung
⚙️ WAF-Bypass	User-Agent-Rotation und zufällige Verzögerungen

Angriffsvektoren

Vektor	Beschreibung
unsigned	Nicht authentifizierte SAML-Assertion ohne Signatur
xsw_v1	XML-Signature-Wrapping – Mehrere Assertions
xsw_v2	XSW – Umgehung der eingebetteten Signatur
xsw_v3	XSW – Namespace-Manipulation
xsw_v4	XSW – Injektion mehrerer Assertions
nameid	NameID-Kommentarinjektion
combo	Kombinierter Angriff (unsigned + XSW + NameID)

---

🕵️ Sicherer Verifizierer (--detect)

Der sichere Verifizierer führt eine nicht-intrusive Schwachstellenerkennung durch, ohne schädliche Payloads auszuführen oder Systemänderungen vorzunehmen.

✨ Funktionen

Funktion	Beschreibung
🔍 WebLogic-Erkennung	Identifiziert WebLogic-Instanzen über LoginForm.jsp
📊 Versionserkennung	Erkennt spezifische WebLogic-Versionen und Patch-Level
🧪 SAML-Endpunkt-Erkennung	Testet auf SAML-ACS-Endpunkte
🔒 Nicht-intrusiv	Identifiziert nur verwundbare Versionen
📋 JSON/CSV-Ausgabe	Exportiert Ergebnisse für Berichte
🔄 Massen-Scanning	Scannt mehrere Ziele mit Threading-Unterstützung

---

📦 Installation & Anforderungen

Voraussetzungen

• Python 3.6+ oder Bash 3.2+
• curl (für die Bash-Version)
• pip (für die Bibliothek requests, Python-Version)

Abhängigkeiten installieren

# Python version
pip install requests urllib3

# Optional: Shodan support
pip install shodan

# Bash version: curl only (no additional dependencies)

[!NOTE] Die Bash-Version funktioniert ausschließlich mit curl und hat keine externen Abhängigkeiten. Die Python-Version benötigt requests und urllib3 (optional: shodan für die Shodan-Integration).

---

🚀 Anwendungsbeispiele

[1] Python-Exploit-Framework (exploit.py)

# Single target exploit (combo mode)
python exploit.py -u https://192.168.1.100:7002 --exploit --user admin

# Exploit with all attack vectors
python exploit.py -u https://192.168.1.100:7002 --mode all --exploit -v