CVE-2026-29000: Proof of Concept (PoC) для обхода аутентификации pac4j-jwt

⚠️ Дисклеймер

Этот инструмент предназначен только для образовательного и этического тестирования безопасности. Я не поддерживаю и не буду поддерживать вредоносные действия в каком-либо виде или форме. Используйте на свой страх и риск.

• Это также мой первый PoC, так что будьте добры, пожалуйста.
• Он разработан с учётом машины "Principal" среднего уровня с HackTheBox.

Обзор

CVE-2026-29000 — это критическая уязвимость (CVSS 10.0) в библиотеке pac4j-jwt. Она возникает из-за некорректной логики проверки в JwtAuthenticator при обработке вложенных (зашифрованных) токенов.

Ошибка заключается в том, что хотя pac4j корректно расшифровывает токен JWE (JSON Web Encryption) с использованием ключа сервера, он не обеспечивает проверку подписи внутреннего JWT. Это позволяет атакующему обернуть неподписанный JWT (с использованием {"alg": "none"}) внутри валидной обёртки JWE. Сервер расшифровывает JWE, доверяет внутренней полезной нагрузке и предоставляет доступ.

Детали уязвимости

• Затронутые версии: версии pac4j до 4.5.9, 5.7.9 и 6.3.3.
• Тип уязвимости: Неправильная аутентификация / обход проверки подписи.
• Воздействие: Полный обход аутентификации и повышение привилегий (например, получение ROLE_ADMIN).

Proof of Concept

Предоставленный скрипт CVE-2026-29000.py автоматизирует следующие шаги:

1. Обнаружение ключа: Получает публичный RSA-ключ цели через конечную точку /api/auth/jwks.
2. Подделка внутреннего токена: Создаёт неподписанный JWT с alg: none и административными утверждениями.
3. Обёртка шифрования: Шифрует поддельный JWT в контейнер JWE с использованием полученного публичного ключа.
4. Эксплуатация: Отправляет поддельный JWE на защищённую конечную точку для проверки несанкционированного доступа.

Предварительные требования

Убедитесь, что у вас установлены необходимые библиотеки Python:

pip install requests jwcrypto

Использование

python3 CVE-2026-29000.py <TARGET_URL>

Пример:

python3 CVE-2026-29000.py http://vulnerable-app.local:8080

Устранение

Чтобы смягчить эту уязвимость, выполните следующие действия:

1. Обновите библиотеку: Немедленно обновите pac4j-jwt до версии 4.5.9, 5.7.9 или 6.3.3 (или выше).
2. Обеспечьте проверку подписей: Убедитесь, что ваша конфигурация JwtAuthenticator явно требует действительную подпись и не допускает алгоритм none.
3. Отключите JWE: Если ваше приложение не требует зашифрованных токенов, отключите поддержку JWE, чтобы уменьшить поверхность атаки.

Ссылки

• Официальная запись CVE (CVE-2026-29000)
• Уведомления о безопасности pac4j

Создано: Cipher1x1