CVE-2017-12159

Znaleziono błąd w dostawcy polityk grupowych usług autoryzacji Keycloak, który jest używany do zarządzania precyzyjną kontrolą dostępu do zasobów. Problem występuje, gdy system ocenia polityki oparte na grupach przy użyciu tokenów zawierających tylko nazwy grup, a nie pełne ścieżki. Jeśli dwie grupy w różnych częściach organizacji mają tę samą nazwę, użytkownik z nieautoryzowanej grupy może zostać uznany za członka autoryzowanej grupy. Może to pozwolić użytkownikowi na nieautoryzowany dostęp do chronionych zasobów, do których nie powinien mieć dostępu.

W Keycloak znaleziono lukę, która dotyczy parsera nagłówka autoryzacji. Parser ten jest zbyt tolerancyjny wobec formatowania schematu autoryzacji 'Bearer', akceptując niestandardowe znaki jako separatory oraz tolerując różnice w wielkości liter, które odbiegają od specyfikacji RFC 6750.

W komponencie keycloak-services Red Hat Build of Keycloak występuje błąd w implementacji grantu JWT Bearer. Grant nie sprawdza, czy klient wymaga zgody użytkownika przed wydaniem tokena. Pozwala to uwierzytelnionemu atakującemu z ważnymi poświadczeniami klienta i zaufanym asercją dostawcy tożsamości na obejście wymogu zgody i uzyskanie nieautoryzowanego dostępu do konta użytkownika w kliencie wymagającym zgody.

Keycloak zawiera podatność w legacy endpoint do łączenia kont, gdzie mechanizm ochrony oparty na hashu może być przewidziany przez złośliwego klienta OIDC. Atakujący może sfałszować link łączący, aby połączyć konto ofiary z zewnętrzną tożsamością atakującego, co prowadzi do pełnego przejęcia konta.

W komponencie SAML broker w Keycloak, gdy skonfigurowano przepływ IdP-Initiated, nie jest egzekwowany warunek OneTimeUse w asercjach SAML. Pozwala to atakującemu, który przechwyci ważną, nieużywaną asercję, na jej wielokrotne odtworzenie, co może prowadzić do przejęcia sesji użytkownika.

Podatność w komponencie SAML broker w Keycloak, używanym do zarządzania federacją tożsamości i uwierzytelnianiem użytkowników. Problem polega na tym, że punkt końcowy Single Sign-On inicjowany przez IdP nie sprawdza, czy dostawca jest ograniczony tylko do łączenia kont. Pozwala to atakującemu kontrolującemu powiązane upstream tożsamości ominąć ograniczenia logowania i uzyskać pełny dostęp do lokalnego konta użytkownika.

Podatność w zarządzaniu polityką bezpieczeństwa Dynamic Client Registration (DCR) w Keycloak. Polityka "Allowed Protocol Mapper Types" nie ponownie weryfikuje typu mappera podczas aktualizacji klienta, jeśli konfiguracja mappera pozostaje niezmieniona. Atakujący z uprawnieniami rejestracji klienta może najpierw zarejestrować dozwolony typ mappera ze złośliwą konfiguracją, a następnie zamienić go na ograniczony typ o wysokich uprawnieniach (np. taki, który na sztywno ustawia role administracyjne), co pozwala uzyskać pełny dostęp administracyjny do realm.

Podatność w komponencie Dynamic Client Registration (DCR) w Keycloak. Domyślna polityka DCR nieprawidłowo waliduje ścieżkę claim dla mappera User Property, co pozwala zapisywać wartości w wrażliwych wewnętrznych lokalizacjach claim. Atakujący ze standardowym kontem użytkownika i ograniczonym Initial Access Token może sfałszować role administracyjne w swoim tokenie dostępu, co umożliwia przejęcie innych klientów, kradzież poufnych sekretów i potencjalnie pełną kontrolę administracyjną nad realm.

W Keycloak stwierdzono usterkę w rejestrowaniu metryk zdarzeń użytkownika. Gdy metryki są włączone, system zapisuje surowe komunikaty błędów z nieudanych operacji konta jako etykiety metryk Prometheus. Ponieważ komunikaty te mogą zawierać dane wprowadzone przez użytkownika, np. nieistniejące identyfikatory klientów, uwierzytelniony użytkownik może utworzyć ogromną liczbę unikalnych wpisów metryk, co prowadzi do wyczerpania pamięci systemu i awarii usługi.

W Keycloak stwierdzono usterkę w dostawcy magazynu LDAP, używanym do federacji tożsamości z zewnętrznych katalogów. Problem występuje, gdy delegowany administrator przeprowadza wyszukiwanie przy użyciu konkretnego wyróżnika (DN) wpisu LDAP. Z powodu braku walidacji system umożliwia wyszukiwanie użytkowników spoza skonfigurowanego zakresu, co prowadzi do ujawnienia informacji o kontach z nieautoryzowanych części katalogu oraz niechcianego importowania tych użytkowników do lokalnego magazynu.