Laboratorio CVE-2026-29000

Laboratorio Java/SparkJava que simula el error de autenticación JWT/JWE relacionado con CVE-2026-29000. La aplicación se ejecuta en el puerto 4567 y proporciona APIs para probar flujos de inicio de sesión válidos, generar tokens falsificados y verificar el panel de control.

Información de CVE

CVE-2026-29000 afecta a pac4j-jwt en versiones anteriores a 4.5.9, 5.7.9 y 6.3.3. El error se encuentra en JwtAuthenticator al procesar JWT/JWE cifrados, lo que permite a un atacante falsificar tokens de autenticación en algunos flujos de autenticación.

Las versiones mínimas recomendadas para actualizar según la rama en uso:

• 4.x: actualizar a 4.5.9 o superior
• 5.x: actualizar a 5.7.9 o superior
• 6.x: actualizar a 6.3.3 o superior

Requisitos

• Docker Desktop o Docker Engine
• Plugin Docker Compose
• Java 17 y Maven si se desea ejecutar directamente sin Docker

Instalación con Docker Compose

En el directorio raíz del proyecto, ejecute:

docker compose up --build

Después de la compilación, abra:

http://localhost:4567

Detener el laboratorio:

docker compose down

Instalación con Docker CLI

Construir la imagen:

docker build -t cve-2026-29000-lab .

Ejecutar el contenedor:

docker run --rm -p 4567:4567 --name cve-2026-29000-lab cve-2026-29000-lab

Verificar la clave pública del servidor:

curl http://localhost:4567/api/public-key

Ejecución directa con Maven

Muévase al directorio lab:

cd lab

Ejecute la aplicación:

mvn exec:java

O compile primero y luego ejecute con classpath:

mvn -DskipTests package dependency:copy-dependencies
java -cp "target/classes;target/dependency/*" com.demo.App

En Linux/macOS, use : en lugar de ;:

java -cp "target/classes:target/dependency/*" com.demo.App

API básicas

• GET / - guía rápida de los pasos de demostración
• POST /api/login - generar token válido
• POST /api/forge-token - generar token para la demo de bypass
• GET /api/dashboard - verificar token en el encabezado Authorization: Bearer <token>
• GET /api/public-key - ver clave pública en formato JWK

Ejemplos de prueba rápida

Inicio de sesión válido:

curl -X POST http://localhost:4567/api/login \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"user_lucas\",\"role\":\"user\"}"

Generar token falsificado:

curl -X POST http://localhost:4567/api/forge-token \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"admin\",\"role\":\"administrator\"}"

Estructura del proyecto

CVE-2026-29000-lab/
|-- Dockerfile
|-- docker-compose.yml
|-- lab/
|   |-- pom.xml
|   `-- src/main/java/com/demo/
|       |-- App.java
|       `-- VulnerableAuthenticator.java
`-- README.md

Notas

Este laboratorio es solo para fines educativos y de prueba en un entorno local. No lo implemente públicamente ni lo use para atacar sistemas no autorizados.