CVE-2026-29000 Lab

Laboratorio Java/SparkJava che simula un errore di autenticazione JWT/JWE relativo a CVE-2026-29000. L'applicazione gira sulla porta 4567 e fornisce API per testare il flusso di login valido, creare token falsificati e controllare la dashboard.

Informazioni CVE

CVE-2026-29000 riguarda pac4j-jwt nelle versioni precedenti a 4.5.9, 5.7.9 e 6.3.3. Il difetto risiede in JwtAuthenticator durante l'elaborazione di JWT/JWE crittografati, consentendo a un attaccante di falsificare token di autenticazione in alcuni flussi di autenticazione.

Versioni minime da aggiornare in base al ramo in uso:

• 4.x: aggiornare a 4.5.9 o successivo
• 5.x: aggiornare a 5.7.9 o successivo
• 6.x: aggiornare a 6.3.3 o successivo

Requisiti

• Docker Desktop o Docker Engine
• plugin Docker Compose
• Java 17 e Maven se si desidera eseguire direttamente senza Docker

Installazione con Docker Compose

Nella directory principale del progetto, esegui:

docker compose up --build

Dopo aver completato la build, apri:

http://localhost:4567

Arrestare il lab:

docker compose down

Installazione tramite Docker CLI

Costruisci l'immagine:

docker build -t cve-2026-29000-lab .

Esegui il container:

docker run --rm -p 4567:4567 --name cve-2026-29000-lab cve-2026-29000-lab

Verifica la chiave pubblica del server:

curl http://localhost:4567/api/public-key

Esecuzione diretta con Maven

Spostati nella directory lab:

cd lab

Esegui l'applicazione:

mvn exec:java

Oppure compila prima e poi esegui con classpath:

mvn -DskipTests package dependency:copy-dependencies
java -cp "target/classes;target/dependency/*" com.demo.App

Su Linux/macOS, usa i due punti : invece del punto e virgola ;:

java -cp "target/classes:target/dependency/*" com.demo.App

API di base

• GET / - guida rapida ai passaggi demo
• POST /api/login - crea un token valido
• POST /api/forge-token - crea un token per il demo di bypass
• GET /api/dashboard - verifica il token nell'header Authorization: Bearer <token>
• GET /api/public-key - visualizza la chiave pubblica in formato JWK

Esempi di test rapido

Login valido:

curl -X POST http://localhost:4567/api/login \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"user_lucas\",\"role\":\"user\"}"

Crea token falsificato:

curl -X POST http://localhost:4567/api/forge-token \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"admin\",\"role\":\"administrator\"}"

Struttura del progetto

CVE-2026-29000-lab/
|-- Dockerfile
|-- docker-compose.yml
|-- lab/
|   |-- pom.xml
|   `-- src/main/java/com/demo/
|       |-- App.java
|       `-- VulnerableAuthenticator.java
`-- README.md

Note

Questo laboratorio è destinato esclusivamente all'apprendimento e al test in ambiente locale. Non distribuirlo pubblicamente né usarlo per attaccare sistemi non autorizzati.