CVE-2026-60206 – PoC de contournement de l'authentification SAML d'Oracle WebLogic Server

Ce dépôt fournit un exploit de preuve de concept pour CVE‑2026‑60206, une vulnérabilité critique de contournement de l'authentification dans l'implémentation SAML d'Oracle WebLogic Server. Cette faille permet à un attaquant distant disposant de faibles privilèges de compromettre entièrement le serveur en forgeant des assertions SAML.

⚠️ Avertissement : Cet outil est destiné uniquement à la recherche et aux tests de sécurité autorisés. Ne l'utilisez que sur des systèmes qui vous appartiennent ou pour lesquels vous disposez d'une autorisation explicite de test. Les auteurs déclinent toute responsabilité en cas d'utilisation abusive.

🔥 Présentation de la vulnérabilité

CVE-2026-60206 affecte le composant Core d'Oracle WebLogic Server. La vulnérabilité provient d'une gestion incorrecte de l'authentification dans l'implémentation du protocole SAML. De multiples vecteurs d'attaque – tels que l'enveloppement de signature XML (XSW), l'acceptation d'assertions non signées, la manipulation du NameID et le contournement des restrictions d'audience/conditions – permettent à un attaquant d'usurper l'identité d'utilisateurs arbitraires (par exemple weblogic) et d'obtenir un accès administratif.

Versions concernées :

• 12.2.1.4.0
• 14.1.1.0.0
• 14.1.2.0.0
• 15.1.1.0.0

Le PoC implémente les vecteurs d'attaque suivants :

• Enveloppement de signature XML (XSW) – manipulation structurelle visant à faire accepter une assertion non signée par le processeur SAML.
• Injection d'assertion non signée – générer une réponse SAML entièrement non signée (si WantAssertionsSigned n'est pas appliqué).
• Manipulation du NameID – dérouter le mappeur d'identités via des commentaires XML, des espaces ou une confusion de format.
• Contournement de la restriction d'audience – supprimer ou modifier AudienceRestriction pour élargir la portée.
• Contournement des conditions/périodes – manipuler NotBefore/NotOnOrAfter pour contourner les contrôles de validité.
• Attaque combinée – XSW + assertion interne non signée + manipulation du NameID (la plus susceptible de réussir).
• Rejeu – rejouer une réponse SAML capturée avec une destination/un destinataire modifiés.

✨ Fonctionnalités

• Plusieurs modes d'attaque – choisir parmi all, unsigned, xsw, nameid, audience, conditions, combo ou replay.
• Scan de masse – détection simultanée et exploitation facultative sur de nombreuses cibles (via -l).
• Détection de version – identifier avec précision la version de WebLogic via les en-têtes, les pages d'erreur et le WSDL.
• Sondage des points de terminaison SAML – découvrir automatiquement les points de terminaison ACS, de métadonnées et initiés par le fournisseur de services.
• Support de Tor – acheminer le trafic via Tor (SOCKS5/HTTP/SOCKS4) pour l'anonymat.
• Rejeu de requêtes HTTP brutes – envoyer des requêtes HTTP brutes arbitraires depuis un fichier (-r).
• Support HTTP/2 – utilise automatiquement httpx s'il est installé, sinon requests (HTTP/1.1).
• Rotation du User‑Agent – utiliser un User‑Agent aléatoire ou personnalisé.
• Support de proxy – envoyer toutes les requêtes via un proxy HTTP/SOCKS.
• Personnalisation des requêtes – définir les délais d'expiration, les tentatives, les délais, désactiver les redirections et réessayer selon un motif regex.
• Enregistrement des charges utiles – enregistrer les charges utiles SAML générées sur disque (--save-payloads).
• Vérification de vulnérabilité (-c / --check) – déterminer rapidement si une cible est vulnérable (sans exploitation).
• Rapports JSON/CSV – résultats structurés pour les scans de masse.
• Journalisation verbose – sortie de débogage détaillée avec console colorée.

📦 Installation

git clone https://github.com/Debajyoti0-0/CVE-2026-60206.git
cd CVE-2026-60206
pip install -r requirements.txt

Requis : requests, urllib3

Facultatif (améliore les fonctionnalités) :

• httpx – pour le support HTTP/2
• lxml – pour une analyse SAML améliorée
• signxml, cryptography – pour la gestion des signatures (non requis pour l'exploitation)

🚀 Utilisation

Cible unique – détection uniquement

python CVE-2026-60206.py -t https://192.168.1.100:7002 --detect

Cible unique – exécuter tous les vecteurs d'attaque

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode all -u weblogic

Cible unique – mode d'attaque spécifique

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode combo -u admin

Scan de masse – détecter les versions depuis un fichier

python CVE-2026-60206.py -l targets.txt -o results.json

Scan de masse – détection + exploitation

python CVE-2026-60206.py -l targets.txt --exploit -o results.csv --threads 20

Rejouer une réponse SAML capturée

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode replay --replay-file captured.xml

Utiliser Tor et vérifier la connectivité

python CVE-2026-60206.py -t https://192.168.1.100:7002 --tor --check-tor

Envoyer une requête HTTP brute depuis un fichier

python CVE-2026-60206.py -t https://192.168.1.100:7002 -r request.txt --method POST

Vérification rapide de vulnérabilité (sans exploitation)

python CVE-2026-60206.py -t https://192.168.1.100:7002 -c

⚙️ Référence des options

Options :

Option	Description
-h, --help	Affiche le message d'aide et quitte.
--proxy PROXY	URL du proxy (remplacée par --tor s'il est utilisé).
--no-verify	Désactive la vérification du certificat SSL.
--cookie COOKIE	Cookie(s) de session (par ex., name=value; name2=value2).
--auth AUTH	Identifiants d'authentification de base (USER:PASS).

Cible :

Option	Description
-t, --target TARGET	URL d'une cible unique (par ex., https://host:7002).
-l, --list LIST	Fichier de liste de cibles pour un scan de masse, ou URL unique.
-f, --file FILE	Alias de --list.

Options de requête :

Option	Description
-r, --requestfile REQUESTFILE	Charge une requête HTTP brute depuis un fichier (remplace les attaques SAML).
--method METHOD	Méthode HTTP à utiliser (pour une requête brute ou une requête unique ; défaut : GET).
--random-agent	Utilise un User‑Agent aléatoire de la liste intégrée.
-A, --user-agent USER_AGENT	Valeur d'en-tête User‑Agent personnalisée.
--tor	Utilise le réseau d'anonymat Tor (SOCKS5 par défaut).
--tor-port TOR_PORT	Port du proxy Tor (défaut : 9050).
--tor-type {HTTP,SOCKS4,SOCKS5}	Type de proxy Tor (défaut : SOCKS5).
--check-tor	Vérifie si Tor est correctement utilisé (quitte avec un verdict).
--delay DELAY	Délai en secondes entre chaque requête.
--timeout TIMEOUT	Délai d'expiration en secondes (défaut : 30).
--retries RETRIES	Nombre de nouvelles tentatives en cas de délai d'expiration/d'erreurs (défaut : 3).
--retry-on RETRY_ON	Réessaie la requête si le contenu de la réponse correspond à une regex (par ex., 'captcha').
-dr, --disable-redirects	Désactive le suivi des redirections HTTP.