📖 物語

すべてのCVEの背後には物語があります。これは、別れのマッシュアップをループで流しながら、寒い冬の夜の午前2時に発見されました。完全な技術的詳細、感情のジェットコースター、そして学んだゼロトラストの教訓をお読みください：

🔗 ブログ記事全文はこちら (リンク先はあなたのブログ記事)

🎯 脆弱性概要

Nextcloudのuser_oidcアプリは、ID4me IDプロバイダから受け取ったJWTトークンを処理する際、暗号署名を検証せずにbase64_decode()を使用してトークンペイロードを処理します。

// Lines 248 - 252
[$header, $payload, $signature] = explode('.', $data['id_token']);
$plainHeaders  = json_decode(base64_decode($header), true);
$plainPayload  = json_decode(base64_decode($payload), true);
/** TODO: VALIATE SIGNATURE! */
$user = $this->manager->getOrCreate($plainPayload['sub'], ...);

• 脆弱性: 暗号署名の不適切な検証（CWE-347）
• 攻撃ベクトル: alg: none JWTの偽造
• 影響: 完全な認証バイパス ➡️ 管理者乗っ取り

🚀 エクスプロイトスクリプト

nextcloud_id4me_poc.pyは、完全自動化された実戦向けフレームワークです。

✨ 特徴

• 🕵️‍♂️ 自動検出: CSRFトークンを抽出し、ID4meエンドポイントを確認します。
• 🎭 トークン偽造: 悪意のあるalg: none JWTトークンをその場で作成します。
• 🖧 ローカルOIDC: 偽のOIDC認証局サーバーを起動します。
• 🚇 Ngrokトンネリング: pyngrokを介して偽サーバーをターゲットに自動公開します。
• 💀 グリッチバナー: 見た目も重要です。

⚙️ セットアップ

# 1. 依存関係をインストール
pip install requests pyngrok

# 2. 無料のNgrok認証トークンを追加
ngrok config add-authtoken <YOUR_NGROK_TOKEN>

💥 使用方法

python nextcloud_id4me_poc.py <TARGET_URL> [--user <USERNAME>] [--port <PORT>]

🎬 実行例

python nextcloud_id4me_poc.py https://target.lab --user admin

(グリッチしたハッカーバナーが初期化され、続いて自動化されたエクスプロイトフローと最終的な脆弱性レポートが表示されます)

🔍 偵察（Shodan Dork）

user_oidcアプリケーションがインストールされている脆弱な可能性のあるNextcloudインスタンスを特定するには：

title:"Nextcloud" http.html:"user_oidc"
title:"Nextcloud" http.html:"id4me"
http.title:"Nextcloud" http.html:"/apps/user_oidc/"

注：アプリがインストールされていても、自動的にターゲットが脆弱であるとは限りません。

⚠️ 法的免責事項

このPoCは教育および許可されたセキュリティテスト目的のみで提供されています。

このスクリプトは、セキュリティ研究者やバグ報奨金ハンターが、明示的に許可を得たシステムをテストするためのものです。所有していない、または明示的かつ文書化された許可がないシステムに対してこのツールを無断使用することは固く禁じられており、地域、州、連邦の法律に違反する可能性があります。

著者（CyberTechAjju）は一切の責任を負わず、このプログラムの誤用や損害について責任を負いません。