Лаборатория CVE-2026-29000

Лаборатория Java/SparkJava, симулирующая ошибку аутентификации JWT/JWE, связанную с CVE-2026-29000. Приложение работает на порту 4567 и предоставляет API для тестирования легитимного потока входа, создания поддельных токенов и проверки панели управления.

Информация о CVE

CVE-2026-29000 затрагивает pac4j-jwt в версиях до 4.5.9, 5.7.9 и 6.3.3. Ошибка находится в JwtAuthenticator при обработке зашифрованных JWT/JWE, что позволяет злоумышленнику подделать токен аутентификации в некоторых потоках аутентификации.

Минимальные версии для обновления в зависимости от используемой ветки:

• 4.x: обновите до 4.5.9 или новее
• 5.x: обновите до 5.7.9 или новее
• 6.x: обновите до 6.3.3 или новее

Требования

• Docker Desktop или Docker Engine
• плагин Docker Compose
• Java 17 и Maven, если хотите запускать напрямую без Docker

Установка с помощью Docker Compose

В корневой папке проекта выполните:

docker compose up --build

После сборки откройте:

http://localhost:4567

Остановка лаборатории:

docker compose down

Установка с помощью Docker CLI

Сборка образа:

docker build -t cve-2026-29000-lab .

Запуск контейнера:

docker run --rm -p 4567:4567 --name cve-2026-29000-lab cve-2026-29000-lab

Проверка публичного ключа сервера:

curl http://localhost:4567/api/public-key

Запуск напрямую через Maven

Перейдите в папку lab:

cd lab

Запуск приложения:

mvn exec:java

Или сначала соберите, затем запустите с classpath:

mvn -DskipTests package dependency:copy-dependencies
java -cp "target/classes;target/dependency/*" com.demo.App

На Linux/macOS используйте : вместо ;:

java -cp "target/classes:target/dependency/*" com.demo.App

Основные API

• GET / - краткое руководство по шагам демонстрации
• POST /api/login - создание легитимного токена
• POST /api/forge-token - создание токена для демонстрации обхода
• GET /api/dashboard - проверка токена в заголовке Authorization: Bearer <token>
• GET /api/public-key - просмотр публичного ключа в формате JWK

Примеры быстрого тестирования

Легитимный вход:

curl -X POST http://localhost:4567/api/login \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"user_lucas\",\"role\":\"user\"}"

Создание поддельного токена:

curl -X POST http://localhost:4567/api/forge-token \
  -H "Content-Type: application/json" \
  -d "{\"username\":\"admin\",\"role\":\"administrator\"}"

Структура проекта

CVE-2026-29000-lab/
|-- Dockerfile
|-- docker-compose.yml
|-- lab/
|   |-- pom.xml
|   `-- src/main/java/com/demo/
|       |-- App.java
|       `-- VulnerableAuthenticator.java
`-- README.md

Примечания

Эта лаборатория предназначена только для обучения и тестирования в локальной среде. Не разворачивайте её публично и не используйте для атаки на системы без разрешения.