CVE-2026-120984

W komponencie keycloak-services wykryto usterkę w przepływie pierwszego logowania brokera. Umożliwia ona atakującemu zarejestrowanie pasującej nazwy użytkownika u zewnętrznego dostawcy tożsamości, co powoduje kolizję w Keycloak i zablokowanie legalnego użytkownika.

Keycloak to open-source'owe rozwiązanie do zarządzania tożsamością i dostępem. Wykryto podatność, w której użytkownik posiadający rolę impersonacji może podszyć się pod administratora realm, uzyskując pełną kontrolę administracyjną nad realm, w tym możliwość zarządzania użytkownikami, klientami i rolami.

Wykryto lukę w endpointach lokalizacji motywów komponentu keycloak-services, który jest kluczową usługą odpowiedzialną za przepływy uwierzytelniania i zarządzanie motywami w Keycloak. Problem polega na tym, że system przyjmuje dowolne znaczniki locale z nieuwierzytelnionych żądań i przechowuje je w trwałym cache w pamięci bez ograniczeń. Atakujący może wysłać dużą liczbę unikalnych znaczników locale, doprowadzając do wyczerpania pamięci i awarii serwera.

Wada w implementacji SAML Redirect Binding w Keycloak polega na tym, że niestandardowe pomocniki kompresji i dekompresji DEFLATE nie zwalniają natywnej pamięci zlib po użyciu. Nieuwierzytelniony atakujący może wysyłać powtarzające się zniekształcone żądania SAML, prowadząc do wyczerpania natywnej pamięci i odmowy usługi.

Wykryto, że ciasteczko używane do zapobiegania CSRF w Keycloak nie było unikalne dla każdej sesji. Atakujący mógł wykorzystać tę lukę, aby uzyskać dostęp do sesji uwierzytelnionego użytkownika, co może prowadzić do ujawnienia informacji lub dalszych ataków.

W implementacji wiązania SAML HTTP-Redirect w Keycloak występuje luka polegająca na tym, że serwer przetwarza nazwy parametrów zakodowane procentowo (np. %53AMLResponse), podczas gdy logika weryfikacji podpisu sprawdza tylko literalne nazwy parametrów. Atakujący może wykorzystać tę rozbieżność, dostarczając spreparowaną, niepodpisaną wiadomość SAML, którą serwer przetwarza zamiast legalnie podpisanej, co prowadzi do pełnego przejęcia konta użytkowników sfederowanych.

W Keycloak wykryto lukę w usługach administracyjnych (org.keycloak.services.resources.admin). Uprzywilejowany atakujący z rolą 'manage-clients' może m.in. manipulować zestawami kluczy JWKS klientów, podmieniać typy authenticatorów i resetować sekrety lub pobierać prawdziwe klucze podpisujące. Skuteczne wykorzystanie pozwala uzyskać token z przypisaną rolą 'realm-admin', co prowadzi do eskalacji uprawnień.

W Keycloak wykryto błąd w logice sanityzacji tokenów. Gdy mapper protokołu emituje strukturalne claims typu JSON, mechanizm usuwający nieautoryzowane mapowania ról rozpoznaje tylko standardowe mapy Java, a nie obiekty JSON oparte na Jacksonie. Umożliwia to atakującemu wstrzyknięcie sfałszowanych ról klienta do tokenów bezpieczeństwa.

W Keycloak Account REST API występuje błąd w obsłudze identyfikacji sesji. Złośliwy właściciel klienta może zmodyfikować własne tokeny bezpieczeństwa tak, aby wskazywały na aktywną sesję innego użytkownika. Pozwala to na dostęp i modyfikację danych ofiary, w tym zmianę adresu e-mail odzyskiwania i reset hasła.

W komponencie Dynamic Client Registration w Keycloak system nie ogranicza należycie nazw claims używanych przy tworzeniu nowych klientów. Atakujący z ważnymi poświadczeniami rejestracyjnymi może utworzyć klienta, który błędnie mapuje standardowe informacje profilu użytkownika na wrażliwe role bezpieczeństwa.