CVE-2026-4282-Scanner

Uno scanner di vulnerabilità non intrusivo, basato sulla versione, per CVE-2026-4282, che interessa Keycloak e Red Hat Build of Keycloak (RHBK).

⚠️ Disclaimer: Questo strumento è destinato esclusivamente a ricerche di sicurezza autorizzate, test di penetrazione e gestione difensiva delle vulnerabilità. Eseguilo solo contro sistemi di tua proprietà o per i quali hai ricevuto esplicita autorizzazione scritta. Questo scanner non esegue alcuno sfruttamento (exploitation) — ispeziona solo informazioni pubbliche, non autenticate, per identificare la versione in esecuzione.

Informazioni sulla vulnerabilità

CVE-2026-4282 — Isolamento o compartimentazione impropri (CWE-653)

Il SingleUseObjectProvider di Keycloak, un archivio chiave-valore globale usato internamente dal server di autenticazione, non garantisce un adeguato isolamento di tipo e namespace tra gli oggetti memorizzati. Poiché le voci provenienti da diversi sottosistemi interni non sono adeguatamente separate, un attaccante non autenticato può manipolare questo archivio condiviso per falsificare codici di autorizzazione OAuth2/OpenID Connect.

Poiché i codici di autorizzazione vengono scambiati con token di accesso, un codice falsificato può essere usato per generare token di accesso con privilegi amministrativi, determinando una completa escalation dei privilegi nell'istanza Keycloak — senza che l'attaccante debba disporre di credenziali valide.

• Punteggio base CVSS 3.1: 7.4 (Alto) — vettore di attacco di rete, nessun privilegio richiesto, nessuna interazione con l'utente, elevata complessità di attacco
• CWE: CWE-653 — Isolamento o compartimentazione impropri
• Componente interessato: SingleUseObjectProvider (archivio KV globale)
• Corretto in: Keycloak / RHBK 26.5.7 e versioni successive

Fonti ufficiali

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-4282
• Avviso Red Hat: https://access.redhat.com/security/cve/CVE-2026-4282
• Red Hat Bugzilla: https://bugzilla.redhat.com/show_bug.cgi?id=2448061
• Note di rilascio di Keycloak 26.5.7: https://www.keycloak.org/2026/04/keycloak-2657-released

Cosa fa questo scanner

1. Invia una richiesta GET standard e non autenticata agli endpoint Keycloak noti (lo stesso traffico che un browser genera caricando la pagina di accesso).
2. Conferma che il target esegua effettivamente Keycloak.
3. Tenta di identificare la versione distribuita (fingerprinting) dai dati di risposta pubblici (percorsi delle risorse, header).
4. Confronta la versione rilevata con la versione corretta nota (26.5.7) e segnala se il target è probabilmente vulnerabile, probabilmente aggiornato o indeterminato.

Cosa NON fa:

• Non falsifica codici di autorizzazione.
• Non tenta bypass dell'autenticazione.
• Non invia payload dannosi o malformati.

Installazione (Linux)

sudo apt update
sudo apt install -y git python3 python3-pip
git clone https://github.com/hexissam/CVE-2026-4282-Scanner.git
cd CVE-2026-4282-Scanner
pip3 install -r requirements.txt

Utilizzo

python3 scanner.py -u https://sso.example.com

Opzioni

Esempio di output

[*] Target: https://sso.example.com
[*] Timestamp: 2026-08-09T12:00:00
[+] Confermato che il target esegue Keycloak.
[*] Versione rilevata: 26.5.4 (fonte: /admin/master/console/)

[-] La versione 26.5.4 potrebbe essere VULNERABILE a CVE-2026-4282 (precedente alla 26.5.7).
[!] Si consiglia di aggiornare immediatamente a Keycloak 26.5.7 o successivo,
    oppure di consultare l'avviso ufficiale Red Hat citato in README.md.

[*] Questa scansione si basa esclusivamente su dati pubblici e non interattivi.
    Nessun payload di sfruttamento o tentativo di bypass dell'autenticazione è stato inviato.

Rimedio

• Aggiornare Keycloak / RHBK alla versione 26.5.7 o successiva.
• Se un aggiornamento immediato non è possibile, monitorare i log di autenticazione per rilevare pattern anomali di riscatto dei codici di autorizzazione e limitare l'esposizione di rete della console di amministrazione di Keycloak.
• Consultare l'avviso ufficiale Red Hat per eventuali ulteriori indicazioni di mitigazione.

Nota legale

Questo progetto è fornito solo a scopo educativo e per ricerche di sicurezza autorizzate. L'autore non è responsabile per qualsiasi uso improprio o danno causato da questo strumento. La scansione o il test non autorizzato di sistemi di cui non si è proprietari o per i quali non si dispone di esplicito permesso è illegale nella maggior parte delle giurisdizioni.

Crediti

Sviluppato da: issam junior (@hexissam) Vulnerabilità scoperta/divulgata da: Red Hat, Inc.