Laboratório CVE-2026-29000

Laboratório Java/SparkJava que simula a falha de autenticação JWT/JWE relacionada à CVE-2026-29000. A aplicação roda na porta 4567 e fornece APIs para testar o fluxo de login válido, criar tokens forjados e verificar o dashboard.

Informações da CVE

A CVE-2026-29000 afeta o pac4j-jwt nas versões anteriores a 4.5.9, 5.7.9 e 6.3.3. A falha está no JwtAuthenticator ao processar JWTs/JWEs criptografados, permitindo que um atacante falsifique tokens de autenticação em determinados fluxos de autenticação.

As versões mínimas para atualização dependem do branch em uso:

• 4.x: atualizar para 4.5.9 ou superior
• 5.x: atualizar para 5.7.9 ou superior
• 6.x: atualizar para 6.3.3 ou superior

Requisitos

• Docker Desktop ou Docker Engine
• Plugin Docker Compose
• Java 17 e Maven caso queira executar diretamente sem usar Docker

Instalação com Docker Compose

Na raiz do projeto, execute:

docker compose up --build

Após a compilação, abra:

http://localhost:4567

Parar o laboratório:

docker compose down

Instalação com Docker CLI

Construir a imagem:

docker build -t cve-2026-29000-lab .

Executar o contêiner:

docker run --rm -p 4567:4567 --name cve-2026-29000-lab cve-2026-29000-lab

Verificar a chave pública do servidor:

curl http://localhost:4567/api/public-key

Executar diretamente com Maven

Entre no diretório lab:

cd lab

Execute a aplicação:

mvn exec:java

Ou compile primeiro e execute usando o classpath:

mvn -DskipTests package dependency:copy-dependencies
java -cp "target/classes;target/dependency/*" com.demo.App

No Linux/macOS, use : em vez de ;:

java -cp "target/classes:target/dependency/*" com.demo.App

APIs básicas

• GET / - guia rápido das etapas de demonstração
• POST /api/login - cria token válido
• POST /api/forge-token - cria token para demonstrar o bypass
• GET /api/dashboard - verifica o token no header Authorization: Bearer <token>
• GET /api/public-key - exibe a chave pública no formato JWK

Exemplo de teste rápido

Login válido:

curl -X POST http://localhost:4567/api/login \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"user_lucas\",\"role\":\"user\"}"

Criar token forjado:

curl -X POST http://localhost:4567/api/forge-token \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"admin\",\"role\":\"administrator\"}"

Estrutura do projeto

CVE-2026-29000-lab/
|-- Dockerfile
|-- docker-compose.yml
|-- lab/
|   |-- pom.xml
|   `-- src/main/java/com/demo/
|       |-- App.java
|       `-- VulnerableAuthenticator.java
`-- README.md

Notas

Este laboratório é apenas para fins educacionais e testes em ambiente local. Não o implante publicamente nem o utilize para atacar sistemas sem autorização.