CVE-2026-9796
ŚrednieCVSS 6.5Streszczenie
W Keycloak odkryto lukę, która pozwala uwierzytelnionemu administratorowi z rolą `manage-clients` wykorzystać podatność typu Time-of-check to time-of-use (TOCTOU) w kontrolach ról administracyjnych opartych na nazwach. Umożliwia to atakującemu eskalację uprawnień do roli `realm-admin` dla wszystkich użytkowników w danym realmie.
Ocena ryzyka
Atakujący zyskuje znaczne uprawnienia do zarządzania systemem, co może prowadzić do poważnych naruszeń bezpieczeństwa. Nawet po odebraniu uprawnień atakującego, relacja ról pozostaje aktywna, co zwiększa ryzyko długoterminowego dostępu do systemu.
Rekomendacja
Zaleca się przegląd i ograniczenie ról oraz uprawnień administratorów, a także wdrożenie dodatkowych mechanizmów kontroli dostępu. Należy również monitorować i audytować działania administratorów w systemie.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Keycloak. An authenticated administrator with the `manage-clients` role can exploit a Time-of-check to time-of-use (TOCTOU) vulnerability in the name-based admin role checks. This allows the attacker to escalate their privileges to `realm-admin` for all users within the realm, granting them extensive control over the system. The composite role relationship persists even after the attacker's own permissions are revoked and across system reboots.