pocKeycloakCVE-2023-0264

Prova de conceito de exploit para CVE-2023-0264 (sequestro de sessão OIDC do Keycloak) com um frontend para substituição de session_id e um agente que detecta o ataque.

1. Valid redirect URIs → adicione http://maquina:5174/* (senão, o Keycloak rejeita o redirecionamento de volta com "Invalid parameter: redirect_uri").
2. Web origins → adicione http://maquina:5174 (senão, o fetch para o endpoint /token falha por CORS e o login fica pela metade).

⚠️ Certificado self-signed

O Keycloak usa um cert self-signed em 8443. Cada integrante da equipe, na primeira vez, deve abrir https://maquina:8443 no navegador e aceitar o certificado uma vez. Senão, as chamadas do front para o Keycloak falham silenciosamente.

Como se usa o PoC

1. Você abre http://maquina:5174 → redireciona para o login do Keycloak.
2. Ao voltar com o code, um prompt mostra o session_id atual e permite substituí-lo pelo de outra sessão (o núcleo do PoC CVE-2023-0264).
3. Se a troca for concluída, o token fica vinculado à sessão injetada. O agente de segurança (pasta agente/) detecta e alerta esse padrão.

Notas

• Servido por HTTP (5174); Keycloak por HTTPS (8443): o fluxo funciona (requisição http→https permitida). Para HTTPS do front, seria necessário um cert/reverse-proxy.
• É uma ferramenta de PoC para testes autorizados no seu próprio Keycloak. Se você a expuser publicamente, considere restringir o acesso (IP, auth básica no proxy) para que não fique um cliente de hijack aberto para qualquer um.
• Trocar de instância Keycloak = mudar KEYCLOAK_URL no compose + up -d.