CVE-2026-29000 — pac4j-jwt JwtAuthenticator 認証バイパス PoC

これは、pac4j-jwt の JwtAuthenticator コンポーネントにおける認証バイパス（CVSS 10.0、緊急）である CVE-2026-29000 の概念実証（PoC）です。

このスクリプトは、ターゲットが RSA の公開鍵を提供している限り、いかなる秘密も知らなくても、 任意のユーザーと任意のロールを偽装するトークンを偽造します。

[!WARNING] このツールは教育目的および許可されたセキュリティテスト専用に提供されます。Hack The Box のマシン "Principal" を解くために書かれたものであり、デフォルト値（iss、role、kid）はそのマシンに 合わせて調整されています。所有しているシステム、またはテストする明示的な許可を得たシステムに 対してのみ使用してください。

脆弱性

pac4j-jwt のバージョン < 4.5.9、< 5.7.9、< 6.3.3 には、 JwtAuthenticator が 暗号化された JWT（JWE）を処理する際の論理的な欠陥があります。

JwtAuthenticator が JWE を復号すると、内部トークンを SignedJWT として解析しようとします。 内部トークンが署名のない PlainJWT（alg: none）の場合、SignedJWT オブジェクトは null になり、 この論理エラーにより署名検証処理が完全にスキップされます。 その後、JwtAuthenticator は検証されていないクレームから直接ユーザープロファイルを 構築します。

言い換えれば、サーバーの公開鍵のみを必要とする外側の JWE 暗号化は、 真正性の証明と誤認されます。そのため、公開鍵を読み取れる攻撃者は誰でも、 完全に信頼されたトークンを生成できます。

攻撃チェーン

1. ターゲットの JWKS エンドポイント（例：/api/auth/jwks）から RSA 公開鍵を取得する。
2. 署名なしの PlainJWT（alg: none）を、攻撃者が選択したクレーム （sub、role、iss、…）で偽造する。
3. その PlainJWT を、ターゲットの公開鍵で暗号化した JWE エンベロープにラップする。
4. 結果のコンパクト JWE を Bearer トークンとして送信する。脆弱な JwtAuthenticator はそれを復号し、署名検証をスキップして、偽造された クレームを信頼する。

要件

• Python 3.8+
• requirements.txt の依存関係：

pip install -r requirements.txt

(requests, jwcrypto, cryptography)

使い方

python3 exploit.py -u <username> [options]

オプション

--target（ネットワーク経由で JWKS を取得する）または --jwks-file（ローカルから指定する）のいずれかを指定する必要があります。

例

ターゲットから公開鍵を取得して管理者トークンを偽造し、 stdout に出力します：

python3 exploit.py -t http://target:8080 -u admin

トークンを偽造し、保護されたエンドポイントに対して自動的にテストします：

python3 exploit.py -t http://target:8080 -u admin \
    --verify-endpoint /api/settings -v

ローカルに保存した JWKS を使用し、トークンをファイルに保存します：

python3 exploit.py --jwks-file jwks.json -u admin -o token.jwe

修正方法

org.pac4j:pac4j-jwt を修正済みリリースにアップグレードしてください：

• 4.x 系 → 4.5.9 以上
• 5.x 系 → 5.7.9 以上
• 6.x 系 → 6.3.3 以上

ライセンス

MIT License の下で公開されています。