CVE-2026-4282-Scanner

CVE-2026-4282 के लिए एक गैर-घुसपैठिया, संस्करण-आधारित भेद्यता स्कैनर, जो Keycloak और Red Hat Build of Keycloak (RHBK) को प्रभावित करता है।

⚠️ अस्वीकरण: यह टूल पूर्णतः अधिकृत सुरक्षा अनुसंधान, प्रवेश परीक्षण और रक्षात्मक भेद्यता प्रबंधन के लिए है। इसे केवल उन सिस्टमों पर चलाएँ जिनके आप स्वामी हैं या जिनका परीक्षण करने के लिए आपके पास स्पष्ट लिखित अनुमति है। यह स्कैनर कोई शोषण नहीं करता — यह केवल सार्वजनिक रूप से उपलब्ध, अनधिकृत जानकारी का निरीक्षण करके चल रहे संस्करण की पहचान करता है।

भेद्यता के बारे में

CVE-2026-4282 — अनुचित पृथक्करण या विभाजन (CWE-653)

Keycloak का SingleUseObjectProvider, जो प्रमाणीकरण सर्वर द्वारा आंतरिक रूप से उपयोग किया जाने वाला वैश्विक की-वैल्यू स्टोर है, संग्रहीत ऑब्जेक्ट्स के बीच उचित प्रकार और नामस्थान पृथक्करण का अभाव रखता है। चूँकि विभिन्न आंतरिक उपप्रणालियों की प्रविष्टियाँ पर्याप्त रूप से अलग नहीं की जाती हैं, एक अनधिकृत हमलावर इस साझा स्टोर में हेरफेर करके OAuth2/OpenID Connect प्राधिकरण कोड बना सकता है।

चूँकि प्राधिकरण कोड को एक्सेस टोकन के बदले बदला जाता है, एक जाली कोड का उपयोग एडमिन-सक्षम एक्सेस टोकन बनाने के लिए किया जा सकता है, जिसके परिणामस्वरूप Keycloak इंस्टेंस के भीतर पूर्ण विशेषाधिकार वृद्धि होती है — बिना हमलावर को कभी वैध क्रेडेंशियल की आवश्यकता के।

• CVSS 3.1 बेस स्कोर: 7.4 (उच्च) — नेटवर्क हमला वेक्टर, कोई विशेषाधिकार आवश्यक नहीं, कोई उपयोगकर्ता इंटरैक्शन नहीं, उच्च हमला जटिलता
• CWE: CWE-653 — अनुचित पृथक्करण या विभाजन
• प्रभावित घटक: SingleUseObjectProvider (वैश्विक KV स्टोर)
• में ठीक किया गया: Keycloak / RHBK 26.5.7 और बाद के संस्करण

आधिकारिक स्रोत

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-4282
• Red Hat सलाह: https://access.redhat.com/security/cve/CVE-2026-4282
• Red Hat Bugzilla: https://bugzilla.redhat.com/show_bug.cgi?id=2448061
• Keycloak 26.5.7 रिलीज़ नोट्स: https://www.keycloak.org/2026/04/keycloak-2657-released

यह स्कैनर क्या करता है

1. प्रसिद्ध Keycloak एंडपॉइंट्स पर एक मानक, अनधिकृत GET अनुरोध भेजता है (वही ट्रैफ़िक जो ब्राउज़र लॉगिन पृष्ठ लोड करते समय उत्पन्न करता है)।
2. पुष्टि करता है कि लक्ष्य वास्तव में Keycloak चला रहा है।
3. सार्वजनिक प्रतिक्रिया डेटा (एसेट पथ, हेडर) से तैनात संस्करण की पहचान करने का प्रयास करता है।
4. पता लगाए गए संस्करण की तुलना ज्ञात ठीक किए गए संस्करण (26.5.7) से करता है और रिपोर्ट करता है कि लक्ष्य संभवतः भेद्य है, संभवतः पैच किया गया है, या अनिर्धारित है।

यह क्या नहीं करता:

• यह प्राधिकरण कोड नहीं बनाता।
• यह प्रमाणीकरण बायपास का प्रयास नहीं करता।
• यह कोई दुर्भावनापूर्ण या विकृत पेलोड नहीं भेजता।

इंस्टॉलेशन (Linux)

sudo apt update
sudo apt install -y git python3 python3-pip
git clone https://github.com/hexissam/CVE-2026-4282-Scanner.git
cd CVE-2026-4282-Scanner
pip3 install -r requirements.txt

उपयोग

python3 scanner.py -u https://sso.example.com

विकल्प

उदाहरण आउटपुट

[*] Target: https://sso.example.com
[*] Timestamp: 2026-08-09T12:00:00
[+] Confirmed the target is running Keycloak.
[*] Detected version: 26.5.4 (source: /admin/master/console/)

[-] Version 26.5.4 may be VULNERABLE to CVE-2026-4282 (older than 26.5.7).
[!] It is recommended to upgrade immediately to Keycloak 26.5.7 or later,
    or review the official Red Hat advisory referenced in README.md.

[*] This scan relies solely on public, non-interactive data.
    No exploit payload or authentication bypass attempt was sent.

उपचार

• Keycloak / RHBK को संस्करण 26.5.7 या बाद के संस्करण में अपग्रेड करें।
• यदि तत्काल अपग्रेड संभव नहीं है, तो असामान्य प्राधिकरण-कोड रिडेम्पशन पैटर्न के लिए प्रमाणीकरण लॉग की निगरानी करें और Keycloak एडमिन कंसोल के नेटवर्क एक्सपोज़र को प्रतिबंधित करें।
• किसी भी अतिरिक्त शमन मार्गदर्शन के लिए आधिकारिक Red Hat सलाह की समीक्षा करें।

कानूनी सूचना

यह परियोजना केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए प्रदान की गई है। इस टूल के किसी भी दुरुपयोग या क्षति के लिए लेखक जिम्मेदार नहीं है। उन सिस्टमों की अनधिकृत स्कैनिंग या परीक्षण जिनके आप स्वामी नहीं हैं या जिनका मूल्यांकन करने के लिए आपके पास स्पष्ट अनुमति नहीं है, अधिकांश क्षेत्राधिकारों में अवैध है।

श्रेय

द्वारा विकसित: issam junior (@hexissam) भेद्यता की खोज/प्रकटीकरण द्वारा: Red Hat, Inc.