CVE-2026-19608
ŚrednieCVSS 5.3Streszczenie
Znaleziono błąd w dostawcy polityk grupowych usług autoryzacji Keycloak, który jest używany do zarządzania precyzyjną kontrolą dostępu do zasobów. Problem występuje, gdy system ocenia polityki oparte na grupach przy użyciu tokenów zawierających tylko nazwy grup, a nie pełne ścieżki. Jeśli dwie grupy w różnych częściach organizacji mają tę samą nazwę, użytkownik z nieautoryzowanej grupy może zostać uznany za członka autoryzowanej grupy. Może to pozwolić użytkownikowi na nieautoryzowany dostęp do chronionych zasobów, do których nie powinien mieć dostępu.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do chronionych zasobów, co może prowadzić do naruszenia poufności danych i naruszenia zasad bezpieczeństwa organizacji.
Rekomendacja
Zaleca się zaktualizowanie Keycloak do wersji z poprawką oraz zmianę konfiguracji polityk grupowych tak, aby używały pełnych ścieżek grup zamiast samych nazw.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the group policy provider of Keycloak authorization services, which is used to manage fine-grained access control to resources. The issue occurs when the system evaluates group-based policies using tokens that only contain group names rather than full paths. If two groups in different parts of the organization share the same name, a user in the unauthorized group can be mistaken for a member of the authorized group. This can allow a user to gain unauthorized access to protected resources they should not be able to reach.