CVE-2026-29000: pac4j-jwt 認証バイパス用 Proof of Concept (PoC)

⚠️ 免責事項

このツールは教育目的および倫理的なセキュリティテスト専用です。 私はいかなる形であれ脅威行為を支援しませんし、今後も支援することはありません。自己責任で使用してください。

これは私の初めてのPoCでもあるので、どうか優しくしてください。
これはHackTheBoxの「Principal」中級マシンを想定して設計されています。

概要

CVE-2026-29000 は、pac4j-jwt ライブラリにおける重大な脆弱性（CVSS 10.0）です。これは、ネストされた（暗号化された）トークンを処理する際の JwtAuthenticator の検証ロジックの不備に起因します。

この欠陥は、pac4j がサーバーの鍵を使用してJWE（JSON Web Encryption）トークンを正しく復号する一方で、内部のJWTに対する署名検証を強制しないことに存在します。これにより、攻撃者は署名のないJWT（{"alg": "none"} を使用）を有効なJWEラッパー内に包むことができます。サーバーはJWEを復号し、内部のペイロードを信頼してアクセスを許可します。

脆弱性の詳細

影響を受けるバージョン: 4.5.9、5.7.9、6.3.3 より前の pac4j バージョン。
脆弱性の種類: 不適切な認証 / 署名検証バイパス。
影響: 完全な認証バイパスと権限昇格（例: ROLE_ADMIN の取得）。

Proof of Concept

提供されるスクリプト CVE-2026-29000.py は、以下の手順を自動化します:

鍵の探索: /api/auth/jwks エンドポイントを介してターゲットの公開RSA鍵を取得します。
内部トークンの偽造: alg: none と管理者権限のクレームを持つ署名のないJWTを作成します。
暗号化ラッピング: 取得した公開鍵を使用して、偽造したJWTをJWEコンテナに暗号化します。
悪用: 偽造したJWEを保護されたエンドポイントに送信し、不正アクセスを検証します。

前提条件

必要なPythonライブラリがインストールされていることを確認してください:

pip install requests jwcrypto

使用方法

python3 CVE-2026-29000.py <TARGET_URL>

例:

python3 CVE-2026-29000.py http://vulnerable-app.local:8080

修復策

この脆弱性を軽減するには、以下の対策を講じてください:

ライブラリの更新: pac4j-jwt を直ちにバージョン 4.5.9、5.7.9、または 6.3.3（またはそれ以上）にアップグレードしてください。
署名の強制: JwtAuthenticator の設定で有効な署名を明示的に要求し、none アルゴリズムを許可しないようにしてください。
JWEの無効化: アプリケーションで暗号化トークンが不要な場合は、攻撃対象領域を減らすためにJWEサポートを無効にしてください。

参考情報

作成者: Cipher1x1

CVE-2026-29000

人気