hexissam/cve-2026-4282-scannerCVE-2026-4282용 비침습적 버전 기반 취약점 스캐너 (Keycloak SingleUseObjectProvider 격리 결함으로 인한 인증 코드 위조 및 권한 상승)
Keycloak 및 **Red Hat Build of Keycloak(RHBK)**에 영향을 미치는 CVE-2026-4282용 비간섭형, 버전 기반 취약점 스캐너입니다.
⚠️ 면책 조항: 이 도구는 승인된 보안 연구, 침투 테스트 및 방어적 취약점 관리 용도로만 사용됩니다. 귀하가 소유하거나 테스트에 대한 명시적인 서면 승인을 받은 시스템에서만 실행하십시오. 이 스캐너는 어떠한 악용(exploitation)도 수행하지 않습니다. 실행 중인 버전을 식별(fingerprint)하기 위해 공개적으로 제공되는 인증되지 않은 정보만 검사합니다.
CVE-2026-4282 — 잘못된 격리 또는 구획화 (CWE-653)
Keycloak의 SingleUseObjectProvider는 인증 서버 내부에서 사용되는 전역 키-값 저장소로, 저장된 객체 간의 적절한 유형(type) 및 네임스페이스 격리가 부족합니다. 서로 다른 내부 하위 시스템의 항목이 적절히 분리되지 않기 때문에, 인증되지 않은 공격자가 이 공유 저장소를 조작하여 OAuth2/OpenID Connect 인가 코드(authorization code)를 위조할 수 있습니다.
인가 코드는 액세스 토큰과 교환되므로, 위조된 코드를 사용하여 관리자 권한의 액세스 토큰을 발급할 수 있으며, 이로 인해 공격자가 유효한 자격 증명을 전혀 보유하지 않은 상태에서 Keycloak 인스턴스 내에서 완전한 **권한 상승(privilege escalation)**이 발생합니다.
SingleUseObjectProvider (전역 KV 저장소)GET 요청을 전송합니다(브라우저가 로그인 페이지를 로드할 때 생성하는 것과 동일한 트래픽).26.5.7)과 비교하여 대상이 취약할 가능성이 있는지, 패치되었을 가능성이 있는지, 또는 판단 불가인지 보고합니다.수행하지 않는 작업:
sudo apt update
sudo apt install -y git python3 python3-pip
git clone https://github.com/hexissam/CVE-2026-4282-Scanner.git
cd CVE-2026-4282-Scanner
pip3 install -r requirements.txt
python3 scanner.py -u https://sso.example.com
| Flag | 설명 |
|---|---|
-u, --url | 대상 Keycloak 서버의 기본 URL (필수) |
-t, --timeout | 요청 제한 시간(초) (기본값: 8) |
--no-verify-ssl | SSL 인증서 확인 비활성화 (자체 서명 인증서) |
[*] Target: https://sso.example.com
[*] Timestamp: 2026-08-09T12:00:00
[+] Confirmed the target is running Keycloak.
[*] Detected version: 26.5.4 (source: /admin/master/console/)
[-] Version 26.5.4 may be VULNERABLE to CVE-2026-4282 (older than 26.5.7).
[!] It is recommended to upgrade immediately to Keycloak 26.5.7 or later,
or review the official Red Hat advisory referenced in README.md.
[*] This scan relies solely on public, non-interactive data.
No exploit payload or authentication bypass attempt was sent.
이 프로젝트는 교육 및 승인된 보안 연구 목적으로만 제공됩니다. 저자는 이 도구로 인한 오용 또는 손해에 대해 책임을 지지 않습니다. 귀하가 소유하지 않았거나 명시적 평가 권한이 없는 시스템을 무단으로 스캔하거나 테스트하는 것은 대부분의 국가에서 불법입니다.
개발자: issam junior (@hexissam) 취약점 발견/공개: Red Hat, Inc.