CVE-2026-9099

Wada w listenerze metryk zdarzeń użytkownika Micrometer w Keycloak występuje, gdy listener jest skonfigurowany do uwzględniania tagu idp. Nieuwierzytelniony atakujący może wysyłać żądania do endpointu logowania brokera tożsamości z dowolnymi aliasami dostawców, powodując tworzenie nieograniczonej liczby szeregów czasowych metryk, co prowadzi do nadmiernego zużycia pamięci i degradacji wydajności serwera oraz narzędzi monitorujących.

W komponencie keycloak-services wykryto usterkę w przepływie pierwszego logowania brokera. Umożliwia ona atakującemu zarejestrowanie pasującej nazwy użytkownika u zewnętrznego dostawcy tożsamości, co powoduje kolizję w Keycloak i zablokowanie legalnego użytkownika.

Keycloak to open-source'owe rozwiązanie do zarządzania tożsamością i dostępem. Wykryto podatność, w której użytkownik posiadający rolę impersonacji może podszyć się pod administratora realm, uzyskując pełną kontrolę administracyjną nad realm, w tym możliwość zarządzania użytkownikami, klientami i rolami.

Wykryto lukę w endpointach lokalizacji motywów komponentu keycloak-services, który jest kluczową usługą odpowiedzialną za przepływy uwierzytelniania i zarządzanie motywami w Keycloak. Problem polega na tym, że system przyjmuje dowolne znaczniki locale z nieuwierzytelnionych żądań i przechowuje je w trwałym cache w pamięci bez ograniczeń. Atakujący może wysłać dużą liczbę unikalnych znaczników locale, doprowadzając do wyczerpania pamięci i awarii serwera.

Wada w implementacji SAML Redirect Binding w Keycloak polega na tym, że niestandardowe pomocniki kompresji i dekompresji DEFLATE nie zwalniają natywnej pamięci zlib po użyciu. Nieuwierzytelniony atakujący może wysyłać powtarzające się zniekształcone żądania SAML, prowadząc do wyczerpania natywnej pamięci i odmowy usługi.

Znaleziono błąd w dostawcy polityk grupowych usług autoryzacji Keycloak, który jest używany do zarządzania precyzyjną kontrolą dostępu do zasobów. Problem występuje, gdy system ocenia polityki oparte na grupach przy użyciu tokenów zawierających tylko nazwy grup, a nie pełne ścieżki. Jeśli dwie grupy w różnych częściach organizacji mają tę samą nazwę, użytkownik z nieautoryzowanej grupy może zostać uznany za członka autoryzowanej grupy. Może to pozwolić użytkownikowi na nieautoryzowany dostęp do chronionych zasobów, do których nie powinien mieć dostępu.

W Keycloak znaleziono lukę, która dotyczy parsera nagłówka autoryzacji. Parser ten jest zbyt tolerancyjny wobec formatowania schematu autoryzacji 'Bearer', akceptując niestandardowe znaki jako separatory oraz tolerując różnice w wielkości liter, które odbiegają od specyfikacji RFC 6750.

Wykryto, że ciasteczko używane do zapobiegania CSRF w Keycloak nie było unikalne dla każdej sesji. Atakujący mógł wykorzystać tę lukę, aby uzyskać dostęp do sesji uwierzytelnionego użytkownika, co może prowadzić do ujawnienia informacji lub dalszych ataków.

W komponencie keycloak-services Keycloak znaleziono błąd w implementacji Client-Initiated Backchannel Authentication (CIBA). Keycloak nie weryfikuje, czy klient jest autoryzowany do korzystania z przepływu CIBA, co pozwala publicznym klientom ominąć wymagania bezpieczeństwa. Atakujący może wykorzystać tę wadę, aby nakłonić użytkownika do zatwierdzenia żądania logowania, uzyskując pełny dostęp do konta bez znajomości sekretu klienta.

Podatność w komponencie renderowania motywu logowania w Keycloak. Filtr bezpieczeństwa odpowiedzialny za czyszczenie danych wejściowych użytkownika może zostać ominięty, co pozwala administratorowi realm na przechowywanie złośliwych skryptów w polach wyświetlania. Może to prowadzić do nieautoryzowanego wykonania JavaScript w przeglądarkach użytkowników odwiedzających stronę logowania.