My-Exploits

広くデプロイされている4つのプラットフォームサービス、Keycloak、Apache NiFi、HashiCorp Vault、HashiCorp Nomadに対して私が行った脆弱性調査です。各発見について、このリポジトリには実際に使用している書き込み一回限りの成果物、意味がある場合のMetasploitモジュール、スタンドアロンのPython proof of concept、そして脆弱なサービスだけを起動する小さなDockerラボを収録しています。これにより、私の言葉を鵜呑みにすることなく誰でもバグを再現できます。

ここにあるものはどれも稼働中の環境を対象としたものではありません。ラボはあなた自身のホスト上で使い捨てのコンテナとして動作します。

発見事項

CVE	コンポーネント	分類	影響を受けるバージョン	Metasploit	PoC	ラボ
CVE-2026-18963	Keycloak	リセット認証情報のスティッキーセレクターによるアカウント乗っ取り	< 26.7.2	yes	yes	yes
CVE-2026-39816	Apache NiFi	execute-codeゲートを回避するTinkerpop / ExecuteGraphQuery Groovy RCE	2.0.0-M1 .. 2.8.0	yes	yes	yes
CVE-2026-5006	HashiCorp Vault	テンプレート化ポリシーのメタデータスラッシュインジェクション (HCSEC-2026-32)	<= 2.0.3	yes	yes	yes
CVE-2026-7474	HashiCorp Nomad	動的ホストボリュームのplugin_idパストラバーサルによるroot到達 (HCSEC-2026-15)	<= 2.0.0		yes	yes

レイアウト

metasploit-custom-modules/   Metasploitモジュール + モジュールドキュメント、通常のフレームワークツリー内
exploits/                    CVEごとに1つの自己完結型Python PoC
docker-lab/                  CVEごとに1つの使い捨てDockerラボ、脆弱なサービスのみを起動

これら3つのそれぞれに詳細を記した独自のREADMEがあります。要約すると:

• metasploit-custom-modules/ はフレームワークのチェックアウト(またはあなたの ~/.msf4)にそのまま投入できます。3つのモジュール: Keycloakの乗っ取り、Vaultのメタデータスラッシュインジェクション、 そしてNiFiのRCEです。
• exploits/ は依存関係の少ない4つのPythonスクリプトで、CVEごとに1つです。編集なしで対応するラボに対して実行できます。
• docker-lab/ は4つの独立したラボです。それぞれが最後の脆弱なリリースを固定し、バグが実際に必要とするもの(NiFi用のgraphバンドル、Nomad用の実際のDockerエンジン)を配線し、それ以上は何もしません。フラグも、連鎖したシナリオもなく、ただバグだけです。

発見事項の再現

CVEを選び、そのラボを起動し、PoCを実行します。例えばKeycloak:

cd docker-lab/keycloak-cve-2026-18963
docker compose up -d
cd ../..
python3 exploits/kc_ato_18963.py \
    --base http://127.0.0.1:8080 --realm larkspur \
    --victim j.okonkwo --newpass Chang3d-by-attacker!

残りの3つも同じパターンに従います。まず各ラボのREADMEを読んでください。いくつかは--buildとプロビジョニングに1分ほど必要です。

開示

4つすべてがそれぞれのベンダーに報告され、上記のバージョンで修正されています。ここで公開されているものはすべて、docker-lab/内の意図的に古いイメージに対して実行されます。あなたが所有していないものに対して実行した場合、それはあなたの責任です。

ライセンス

MIT。LICENSEを参照してください。