PoC CVE-2023-0264 — front（OIDCセッションハイジャック）

Keycloakに対してOIDC（authorization code）フローを実行し、PoCのsession_idハイジャックフックを公開する静的フロントエンド。チーム利用のためnginxでポート5174に配信される。

起動方法（VPS上で）

cd vps/pocCVE0264
docker compose up -d --build

http://maquina:5174 で利用可能。プロバイダーのファイアウォールで5174/TCPを開放する（8443と同じように）。

KeycloakのURLは環境変数で注入される（HTMLにはハードコードされていない）。docker-compose.ymlのKEYCLOAK_URL/REALM/CLIENT_IDを編集して再起動するだけでよい（再ビルドは不要）。

⚠️ Keycloak側の要件（これがないとログイン/トークンが失敗する）

レルムpoc、クライアントclient1（Admin Console → Clients → client1）で:

1. Valid redirect URIs → http://maquina:5174/* を追加する （追加しないと、Keycloakが "Invalid parameter: redirect_uri" でリダイレクトを拒否する）。
2. Web origins → http://maquina:5174 を追加する （追加しないと、/tokenエンドポイントへのfetchがCORSで失敗し、ログインが途中で止まる）。

⚠️ 自己署名証明書

Keycloakは8443で自己署名証明書を使用する。チームの各メンバーは初回、ブラウザでhttps://maquina:8443を開き、証明書を一度受け入れる必要がある。そうしないと、フロントからKeycloakへの呼び出しが静かに失敗する。

PoCの使用方法

1. http://maquina:5174 を開く → Keycloakのログインにリダイレクトされる。
2. codeを持って戻ると、promptが現在のsession_idを表示し、別のセッションのものに置き換えることができる（PoC CVE-2023-0264の中核）。
3. 交換が完了すると、トークンは注入されたセッションに紐付けられる。 セキュリティエージェント（agente/フォルダ）がこのパターンを検出して警告する。

注意事項

• HTTP（5174）で配信、KeycloakはHTTPS（8443）：このフローは動作する（http→httpsリクエストは許可される）。フロントをHTTPSにするには証明書/リバースプロキシが必要。
• これは自前のKeycloakに対する許可されたテスト用のPoCツールである。 公開する場合は、誰にでも開かれたハイジャッククライアントにならないよう、アクセス制限（IP、プロキシでのベーシック認証など）を検討すること。
• Keycloakインスタンスの変更 = composeのKEYCLOAK_URLを変更 + up -d。