Entorno de Pruebas CVE-2026-29145

📌 Descripción General

Este repositorio contiene un entorno de prueba de concepto (PoC) diseñado para probar la CVE-2026-29145.

La vulnerabilidad es una omisión de autenticación en la implementación de TLS mutuo (CLIENT_CERT) de Apache Tomcat. Cuando OCSP (Protocolo de Estado de Certificados en Línea) está configurado con fallo suave deshabilitado, Tomcat puede no tratar un fallo de verificación OCSP como una denegación estricta. Esto permite que un cliente con un certificado potencialmente revocado o no verificado omita la autenticación si el respondedor OCSP no está disponible o devuelve un error.

🛡️ Detalles de la Vulnerabilidad

Propiedad	Valor
ID CVE	CVE-2026-29145
Puntuación CVSS	9.1 (Crítica) - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Vector de Ataque	Red
Privilegios Requeridos	Ninguno
Impacto	Omisión de Autenticación

Requisitos Previos para la Vulnerabilidad

✓ Autenticación CLIENT_CERT habilitada en Tomcat
✓ Verificación de revocación OCSP habilitada
✓ Opción de fallo suave deshabilitada (modo de fallo estricto)
✓ Respondedor OCSP no disponible o con fallos

🚀 Primeros Pasos

Requisitos Previos

Docker y Docker Compose: Para ejecutar el contenedor vulnerable de Tomcat
OpenSSL: Para generar la PKI (Infraestructura de Clave Pública) - normalmente preinstalado en Linux/macOS
Python 3.7+: Para ejecutar el script de prueba y el respondedor simulado
curl (opcional): Para pruebas manuales
PowerShell (solo Windows): Si se utilizan los scripts .ps1

1. Ciclo de Prueba Completo Automatizado (Recomendado)

El script run_test.sh automatiza todo el proceso: limpieza, generación de certificados y ejecución de todos los escenarios de prueba (vulnerable, exitoso y parcheado).

# Navegar al directorio del proyecto
cd CVE-2026-29145-Tester

# Hacer ejecutables los scripts
chmod +x cleanup.sh setup_certs.sh run_test.sh

# Instalar dependencias de Python (si poc_exploit.py las requiere)
pip install -r requirements.txt

# Ejecutar la suite de pruebas completa
./run_test.sh

2. Generar certificados

En Linux/macOS:

./setup_certs.sh

En Windows (PowerShell):

.\setup_certs.ps1

Qué hace esto:

Crea una CA raíz (Autoridad de Certificación)
Genera el certificado de servidor para Tomcat
Genera el certificado de cliente con extensión OCSP apuntando a http://localhost:8888
Valida que todos los certificados se hayan creado correctamente

Salida esperada:

[INFO] Iniciando generación de certificados para el entorno de pruebas CVE-2026-29145
[INFO] OpenSSL encontrado: OpenSSL 3.0.x (...)
[INFO] Directorio certs creado
[INFO] Generando CA raíz...
[INFO] Generando certificado de servidor...
[INFO] Generando certificado de cliente con extensión OCSP...
[INFO] ¡Configuración de certificados completada exitosamente!

3. Iniciar el entorno vulnerable

docker-compose up -d

Qué hace esto:

Inicia el respondedor simulado OCSP en el puerto 8888 (simula fallos con HTTP 500)
Inicia Tomcat 10.1.52 vulnerable en el puerto 8443 con autenticación CLIENT_CERT
Crea una red Docker interna para la comunicación entre servicios
Configura comprobaciones de salud para ambos servicios

Verificar que los contenedores estén ejecutándose:

docker-compose ps

4. Ejecutar la prueba de explotación

python poc_exploit.py

Salidas esperadas:

Sistema Vulnerable:

[INFO] Intentando conexión a https://localhost:8443/protected-resource...
[WARNING] VULNERABLE: Acceso concedido a pesar del fallo de verificación OCSP.
[WARNING] Vista previa de la respuesta: <html>...

Sistema Parcheado:

[INFO] Intentando conexión a https://localhost:8443/protected-resource...
[INFO] NO VULNERABLE: Acceso denegado (Autenticación funcionando).

🧪 Escenarios de Prueba

Escenario	Estado OCSP	Esperado (Parcheado)	Resultado (Vulnerable)	Notas
Operación Normal	En línea y Válido	200 OK ✓	200 OK ✓	La verificación OCSP tiene éxito, acceso concedido
Fallo Suave	Sin conexión/Timeout	403 Prohibido ✓	200 OK ✗	OMISIÓN - Respondedor OCSP no disponible
Revocación Estricta	En línea y Revocado	403 Prohibido ✓	403 Prohibido ✓	Certificado explícitamente revocado
Certificado Inválido	Cadena Inválida	403 Prohibido ✓	403 Prohibido ✓	La validación de la cadena falla

Ejecución de Diferentes Escenarios de Prueba

Prueba 1: Predeterminado (Respondedor OCSP con Fallos)

# Mantener los contenedores ejecutándose
python poc_exploit.py

Prueba 2: Detener el Respondedor OCSP (Simular Timeout)

docker-compose pause ocsp-responder
python poc_exploit.py
docker-compose unpause ocsp-responder

Prueba 3: Prueba Manual con curl

curl -v \
  --cert certs/client-cert.pem \
  --key certs/client-key.pem \
  --cacert certs/ca-chain.pem \
  https://localhost:8443/protected-resource

🛠️ Estructura del Proyecto

CVE-2026-29145-Tester/
├── README.md                    # Este archivo
├── setup_certs.sh              # Script de generación de certificados - Bash (Linux/macOS)
├── setup_certs.ps1             # Script de generación de certificados - PowerShell (Windows)
├── cleanup.sh                  # Script de limpieza y reinicio - Bash (Linux/macOS)
├── cleanup.ps1                 # Script de limpieza y reinicio - PowerShell (Windows)
├── run_test.sh                 # Script de ciclo de prueba completo automatizado
├── docker-compose.yml          # Orquestación de servicios Docker
├── requirements.txt            # Dependencias de Python
├── poc_exploit.py              # Script principal de prueba (con registro y manejo de errores)
├── simple_proxy_fail.py        # Respondedor OCSP simulado (con registro detallado)
├── .gitignore                  # Reglas de ignorado de Git para certificados y registros
├── certs/                      # Certificados generados (creados por los scripts setup_certs)
│   ├── ca-chain.pem           # Certificado de CA raíz
│   ├── ca-key.pem             # Clave privada de CA raíz
│   ├── server-cert.pem        # Certificado de servidor Tomcat
│   ├── server-key.pem         # Clave privada de servidor Tomcat
│   ├── client-cert.pem        # Certificado de cliente de prueba
│   └── client-key.pem         # Clave privada de cliente de prueba
├── tomcat/
│   └── server.xml             # Configuración vulnerable de Tomcat
└── logs/                       # Registros de Tomcat (creados en tiempo de ejecución)

📋 Detalles de Configuración

Configuración de Server.xml (Vulnerable)

El archivo tomcat/server.xml configura:

<SSLHostConfig 
    hostName="localhost"
    certificateVerification="required"
    caCertificateFile="conf/certs/ca-chain.pem">
    
    <OpenSSLConf>
        <ConfCommand name="OCSP" value="on"/>
    </OpenSSLConf>
</SSLHostConfig>

Configuraciones Clave:

certificateVerification="required" - Aplica la autenticación CLIENT_CERT
OCSP on - Habilita la verificación de revocación OCSP
Sin anulación de fallo suave - Utiliza el modo de fallo estricto (vulnerable)

Configuración del Respondedor OCSP

El respondedor OCSP simulado (simple_proxy_fail.py):

Escucha en localhost:8888
Siempre devuelve HTTP 500 (Error del Servidor)
Registra todas las solicitudes OCSP entrantes
Simula un servicio OCSP no disponible o con fallos

🔧 Solución de Problemas

Problemas Comunes y Soluciones

❌ Error: "OpenSSL no está instalado"

# macOS
brew install openssl

# Ubuntu/Debian
sudo apt-get install openssl

# CentOS/RHEL
sudo yum install openssl

CVE-2026-29145-Tester

Más Populares