CVE-2026-88770
ŚrednieCVSS 6.5Streszczenie
W przepływie Device Authorization Grant w Keycloak występuje luka polegająca na tym, że proces wymiany tokenu nie sprawdza, czy konto użytkownika jest zablokowane przez ochronę przed atakami brute-force. Jeśli atakujący posiada aktywną sesję dla zablokowanego konta, może dokończyć logowanie urządzenia i otrzymać nowe tokeny bezpieczeństwa.
Ocena ryzyka
Atakujący może utrzymać dostęp do konta nawet wtedy, gdy powinno być ono tymczasowo zablokowane, co podważa skuteczność mechanizmów ochrony przed brute-force i może prowadzić do nieautoryzowanego dostępu.
Rekomendacja
Zaktualizuj Keycloak do wersji zawierającej poprawkę i zweryfikuj, czy blokada konta jest respektowana na wszystkich etapach przepływu Device Authorization Grant.
Inne podatności w Keycloak
Zobacz wszystkie- CVE-2026-19608Średnie
Znaleziono błąd w dostawcy polityk grupowych usług autoryzacji Keycloak, który jest używany do zarządzania precyzyjną kontrolą dostępu do zasobów. Problem występuje, gdy system ocenia polityki oparte na grupach przy użyciu tokenów zawierających tylko nazwy grup, a nie pełne ścieżki. Jeśli dwie grupy w różnych częściach organizacji mają tę samą nazwę, użytkownik z nieautoryzowanej grupy może zostać uznany za członka autoryzowanej grupy. Może to pozwolić użytkownikowi na nieautoryzowany dostęp do chronionych zasobów, do których nie powinien mieć dostępu.
- CVE-2026-0707Średnie
W Keycloak znaleziono lukę, która dotyczy parsera nagłówka autoryzacji. Parser ten jest zbyt tolerancyjny wobec formatowania schematu autoryzacji 'Bearer', akceptując niestandardowe znaki jako separatory oraz tolerując różnice w wielkości liter, które odbiegają od specyfikacji RFC 6750.
- CVE-2017-12159Wysokie
Wykryto, że ciasteczko używane do zapobiegania CSRF w Keycloak nie było unikalne dla każdej sesji. Atakujący mógł wykorzystać tę lukę, aby uzyskać dostęp do sesji uwierzytelnionego użytkownika, co może prowadzić do ujawnienia informacji lub dalszych ataków.
- CVE-2026-82968Średnie
Znaleziono błąd w przepływie pierwszego logowania brokera w usłudze zarządzania tożsamością Keycloak. Gdy użytkownik łączy konto dostawcy tożsamości społecznościowej ze swoim lokalnym kontem, generowany dowód weryfikacji nie jest ściśle powiązany z konkretną tożsamością upstream, która jest weryfikowana. Pozwala to atakującemu z innym kontem u tego samego dostawcy społecznościowego na przechwycenie procesu i powiązanie własnego konta z profilem ofiary, uzyskując nieautoryzowany dostęp.
- CVE-2026-79652Średnie
W komponencie keycloak-services Red Hat Build of Keycloak występuje błąd w implementacji grantu JWT Bearer. Grant nie sprawdza, czy klient wymaga zgody użytkownika przed wydaniem tokena. Pozwala to uwierzytelnionemu atakującemu z ważnymi poświadczeniami klienta i zaufanym asercją dostawcy tożsamości na obejście wymogu zgody i uzyskanie nieautoryzowanego dostępu do konta użytkownika w kliencie wymagającym zgody.
- CVE-2026-15571Wysokie
Keycloak zawiera podatność w legacy endpoint do łączenia kont, gdzie mechanizm ochrony oparty na hashu może być przewidziany przez złośliwego klienta OIDC. Atakujący może sfałszować link łączący, aby połączyć konto ofiary z zewnętrzną tożsamością atakującego, co prowadzi do pełnego przejęcia konta.
- CVE-2026-18967Średnie
W komponencie SAML broker w Keycloak, gdy skonfigurowano przepływ IdP-Initiated, nie jest egzekwowany warunek OneTimeUse w asercjach SAML. Pozwala to atakującemu, który przechwyci ważną, nieużywaną asercję, na jej wielokrotne odtworzenie, co może prowadzić do przejęcia sesji użytkownika.
- CVE-2026-16442Wysokie
Podatność w komponencie SAML broker w Keycloak, używanym do zarządzania federacją tożsamości i uwierzytelnianiem użytkowników. Problem polega na tym, że punkt końcowy Single Sign-On inicjowany przez IdP nie sprawdza, czy dostawca jest ograniczony tylko do łączenia kont. Pozwala to atakującemu kontrolującemu powiązane upstream tożsamości ominąć ograniczenia logowania i uzyskać pełny dostęp do lokalnego konta użytkownika.
- CVE-2026-15572Wysokie
Podatność w zarządzaniu polityką bezpieczeństwa Dynamic Client Registration (DCR) w Keycloak. Polityka "Allowed Protocol Mapper Types" nie ponownie weryfikuje typu mappera podczas aktualizacji klienta, jeśli konfiguracja mappera pozostaje niezmieniona. Atakujący z uprawnieniami rejestracji klienta może najpierw zarejestrować dozwolony typ mappera ze złośliwą konfiguracją, a następnie zamienić go na ograniczony typ o wysokich uprawnieniach (np. taki, który na sztywno ustawia role administracyjne), co pozwala uzyskać pełny dostęp administracyjny do realm.
- CVE-2026-16102Wysokie
Podatność w komponencie Dynamic Client Registration (DCR) w Keycloak. Domyślna polityka DCR nieprawidłowo waliduje ścieżkę claim dla mappera User Property, co pozwala zapisywać wartości w wrażliwych wewnętrznych lokalizacjach claim. Atakujący ze standardowym kontem użytkownika i ograniczonym Initial Access Token może sfałszować role administracyjne w swoim tokenie dostępu, co umożliwia przejęcie innych klientów, kradzież poufnych sekretów i potencjalnie pełną kontrolę administracyjną nad realm.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Device Authorization Grant flow of Keycloak, an identity and access management solution. The issue occurs because the token redemption process fails to check if a user account is currently locked due to brute-force protection. If an attacker has an active session for a locked account, they can complete the device login process and receive new security tokens. This allows the attacker to maintain access to the account even when it should be temporarily disabled to prevent unauthorized entry.