CVE-2026-4282-Scanner

CVE-2026-4282 に対応する、Keycloak および Red Hat Build of Keycloak (RHBK) に影響を与える脆弱性を対象とした、非侵入型のバージョンベース脆弱性スキャナーです。

⚠️ 免責事項: このツールは、許可されたセキュリティ研究、ペネトレーションテスト、および防御的な脆弱性管理のみを目的としています。自身が所有するシステム、またはテストに対する明示的な書面による許可を得たシステムに対してのみ実行してください。このスキャナーはエクスプロイトを一切行いません — 公開されている未認証の情報を検査して、実行中のバージョンを特定するだけです。

脆弱性について

CVE-2026-4282 — 不適切な分離またはコンパートメント化 (CWE-653)

Keycloak の SingleUseObjectProvider は、認証サーバーが内部的に使用するグローバルなキー・バリュー・ストアですが、保存されたオブジェクト間の適切な型および名前空間の分離が欠如しています。異なる内部サブシステムからのエントリが適切に分離されていないため、未認証の攻撃者がこの共有ストアを操作して OAuth2/OpenID Connect 認可コードを偽造 することが可能です。

認可コードはアクセストークンと交換されるため、偽造されたコードを使用して 管理者権限を持つアクセストークン を生成でき、攻撃者が有効な認証情報を一切持たずに Keycloak インスタンス内で完全な 権限昇格 を引き起こすことができます。

• CVSS 3.1 基本スコア: 7.4 (High) — ネットワーク攻撃ベクター、権限不要、ユーザー操作不要、高い攻撃複雑度
• CWE: CWE-653 — 不適切な分離またはコンパートメント化
• 影響を受けるコンポーネント: SingleUseObjectProvider (グローバル KV ストア)
• 修正バージョン: Keycloak / RHBK 26.5.7 以降

公式情報源

• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-4282
• Red Hat アドバイザリ: https://access.redhat.com/security/cve/CVE-2026-4282
• Red Hat Bugzilla: https://bugzilla.redhat.com/show_bug.cgi?id=2448061
• Keycloak 26.5.7 リリースノート: https://www.keycloak.org/2026/04/keycloak-2657-released

このスキャナーが行うこと

1. よく知られた Keycloak エンドポイントに対して、標準的な未認証の GET リクエストを送信します (ブラウザがログインページを読み込む際に生成するものと同じトラフィック)。
2. ターゲットが実際に Keycloak を実行していることを確認します。
3. 公開されているレスポンスデータ (アセットパス、ヘッダー) からデプロイされたバージョンの特定を試みます。
4. 検出されたバージョンを既知の修正バージョン (26.5.7) と比較し、ターゲットが脆弱である可能性が高いか、修正済みである可能性が高いか、または判定不能かを報告します。

行わないこと:

• 認可コードを偽造しません。
• 認証バイパスを試みません。
• 悪意のある、または不正な形式のペイロードを送信しません。

インストール (Linux)

sudo apt update
sudo apt install -y git python3 python3-pip
git clone https://github.com/hexissam/CVE-2026-4282-Scanner.git
cd CVE-2026-4282-Scanner
pip3 install -r requirements.txt

使用方法

python3 scanner.py -u https://sso.example.com

オプション

出力例

[*] Target: https://sso.example.com
[*] Timestamp: 2026-08-09T12:00:00
[+] Confirmed the target is running Keycloak.
[*] Detected version: 26.5.4 (source: /admin/master/console/)

[-] Version 26.5.4 may be VULNERABLE to CVE-2026-4282 (older than 26.5.7).
[!] It is recommended to upgrade immediately to Keycloak 26.5.7 or later,
    or review the official Red Hat advisory referenced in README.md.

[*] This scan relies solely on public, non-interactive data.
    No exploit payload or authentication bypass attempt was sent.

修復

• Keycloak / RHBK をバージョン 26.5.7 以降 にアップグレードしてください。
• 直ちにアップグレードできない場合は、認証ログを監視して異常な認可コードの引き換えパターンを検出し、Keycloak 管理コンソールのネットワーク露出を制限してください。
• 追加の緩和策については、公式の Red Hat アドバイザリを確認してください。

法的通知

このプロジェクトは、教育および許可されたセキュリティ研究のみを目的として 提供されています。作者は、このツールによるいかなる誤用や損害についても責任を負いません。所有していない、または評価に対する明示的な許可を得ていないシステムの無断スキャンやテストは、ほとんどの法域で違法です。

クレジット

開発者: issam junior (@hexissam) 脆弱性の発見/開示者: Red Hat, Inc.