Kimai CVE-2026-52824 — Обход аутентификации через стандартный APP_SECRET

Примечание: URL репозитория содержит устаревший идентификатор CVE (CVE-2026-49865). Корректный и актуальный CVE, отслеживаемый в этом репозитории, — CVE-2026-52824 (GHSA-jr9p-4h4j-6c58).

Набор инструментов для эксплуатации уязвимости, связанной с жёстко заданным стандартным APP_SECRET в системе учёта рабочего времени Kimai (версии ≤ 2.57.0). Позволяет обойти аутентификацию с помощью поддельных cookie KIMAI_REMEMBER на незащищённых развёртываниях Docker.

История

Когда вышел CVE-2026-52824 — критическая уязвимость с оценкой CVSS 9.1, вызванная жёстко заданным стандартным секретом в образе Docker, используемом тысячами самостоятельных хостинг-провайдеров, — техническое сообщество знало о ней, и исправление вышло в 2.58.0. Но никто не опубликовал работающий proof-of-concept.

Поэтому я воссоздал его, опираясь только на рекомендации по безопасности.

Цепочка: Kimai поставляет APP_SECRET=change_this_to_something_unique в Docker и .env.dist. В v2.57.0 signature_properties для cookie remember-me пуст, поэтому FieldsHash сводится к константе (SHA256('')). Объединив известный секрет с пустым хешем, можно подделать cookie KIMAI_REMEMBER для любого идентификатора пользователя — включая администратора (id:1).

Этот репозиторий — полный рабочий набор инструментов, который проходит путь от рекомендации по безопасности до сессии администратора на любом незащищённом экземпляре.

Сводка уязвимости

Поле	Значение
CVE	CVE-2026-52824
GHSA	GHSA-jr9p-4h4j-6c58
CVSS	9.1 (Критический)
CWE	CWE-1188 — Небезопасная инициализация ресурса по умолчанию
Затронуто	Kimai ≤ 2.57.0 (образ Docker / `.env.dist`)
Исправлено	2.58.0
Автор	Trent M. (`AzureADTrent`)

Как это работает

Kimai поставляется с жёстко заданным стандартным APP_SECRET в своём образе Docker и .env.dist:

APP_SECRET=change_this_to_something_unique

В v2.57.0 signature_properties для cookie remember-me пуст, что делает FieldsHash константой (SHA256('')). В сочетании с известным секретом любой может подделать действительный cookie KIMAI_REMEMBER для любого пользователя — включая администратора.

Цепочка атаки

Определить экземпляр Kimai, работающий на версии ≤ 2.57.0
Идентификаторы пользователей последовательны (admin = id:1)
Известный APP_SECRET → вычислить подписи HMAC-SHA256
Подделать cookie KIMAI_REMEMBER с user_id и именем пользователя администратора
Сервер проверяет HMAC → полная сессия администратора
Доступ администратора позволяет манипулировать табелями учёта рабочего времени, создавать пользователей и потенциально выполнять RCE

Что изменилось в v2.58.0

Аспект	v2.57.0 (Уязвимая)	v2.58.0 (Исправленная)
Dockerfile	`ENV APP_SECRET=change_this_to_something_unique`	Нет жёстко заданного значения по умолчанию
entrypoint.sh	Нет генерации секрета	Генерирует `bin2hex(random_bytes(32))` при первой загрузке
Хранение	Н/Д	Сохраняется в `/opt/kimai/var/data/.appsecret`

Содержимое набора инструментов

Файл	Назначение
`exploit.py`	Эксплуатация одной цели — подделывает cookie и аутентифицируется
`batch_pwn.py`	Многопоточная пакетная эксплуатация по списку хостов
`quick_scan.py`	Двухпроходный сканер — быстрая фильтрация, затем глубокое зондирование
`deep_probe.py`	Определение версии через несколько эндпоинтов
`probe_batch.py`	Зондирование хостов из файла на предмет версии и уязвимости
`shodan-scanner.py`	Интеграция с Shodan для обнаружения экземпляров Kimai

Установка

git clone https://github.com/cyeezy08/Kimai-CVE-2026-49865-POC.git
cd Kimai-CVE-2026-49865-POC
pip install -r requirements.txt

Использование

Эксплуатация одной цели

python3 exploit.py https://kimai.example.com
python3 exploit.py https://kimai.example.com admin --dump

Пакетная эксплуатация

# Из файла со списком URL
python3 batch_pwn.py kimai_hosts.txt results.txt 30

Обнаружение через Shodan

export SHODAN_API_KEY="your_key"
python3 shodan-scanner.py --search --output kimai_hosts.txt

Зондирование версий

python3 deep_probe.py kimai_hosts.txt versioned_results.txt
python3 quick_scan.py hosts_file.txt

Требования

Python 3.8+
requests — HTTP-клиент
shodan — клиент Shodan API (только для shodan-scanner.py)

Отказ от ответственности

Этот набор инструментов предоставляется исключительно для авторизованного тестирования безопасности и исследований. Несанкционированный доступ к компьютерным системам незаконен. Всегда получайте надлежащее разрешение перед тестированием. Автор не несёт ответственности за неправомерное использование.

Лицензия

MIT не знаю, я устал, ок, спасибо

Популярное

Kimai-CVE-2026-52824-POC