Podatności Keycloak

W Keycloak wykryto podatność w punkcie końcowym brokera SAML. Nieprawidłowa walidacja zaszyfrowanych asercji w przypadku braku podpisu całej odpowiedzi SAML umożliwia atakującemu wstrzyknięcie asercji dla dowolnego użytkownika.

W Keycloak wykryto podatność obejścia autoryzacji w API administracyjnym, która pozwala każdemu uwierzytelnionemu użytkownikowi, nawet bez uprawnień administracyjnych, na wyliczenie członkostw organizacji innych użytkowników. Ujawnienie informacji następuje, gdy atakujący zna unikalny identyfikator (UUID) ofiary i funkcja Organizations jest włączona.

Wykryto wadę w Account REST API Keycloak, która pozwala użytkownikowi uwierzytelnionemu na niższym poziomie bezpieczeństwa wykonywać wrażliwe działania przeznaczone tylko dla sesji o wyższym poziomie zaufania. Konkretnie, atakujący, który już zdobył hasło ofiary, może usunąć zarejestrowane poświadczenie MFA/OTP ofiary bez uprzedniego udowodnienia posiadania tego czynnika. Następnie atakujący może zarejestrować własne urządzenie MFA, skutecznie przejmując pełną kontrolę nad kontem. Ta słabość podważa ochronę zapewnianą przez uwierzytelnianie wieloskładnikowe.

W Keycloak znaleziono lukę w komponencie org.keycloak.broker.saml. Gdy wyłączony klient SAML jest skonfigurowany jako docelowy punkt docelowy brokera inicjowanego przez dostawcę tożsamości (IdP), nadal może on zakończyć proces logowania i ustanowić sesję SSO. Pozwala to zdalnemu atakującemu uzyskać nieautoryzowany dostęp do innych włączonych klientów bez ponownego uwierzytelniania, skutecznie omijając ograniczenia bezpieczeństwa.

Podatność w Keycloak umożliwia uwierzytelnienie przez wyłączonego dostawcę tożsamości (IdP) poprzez ponowne użycie wcześniej wygenerowanego żądania logowania. Atakujący znający alias IdP może ominąć administracyjne ograniczenie i uzyskać dostęp.

W komponencie rejestracji WebAuthn w Keycloak znaleziono wadę. Podatność pozwala atakującemu ominąć skonfigurowaną politykę atestacji i zarejestrować niezaufane lub sfałszowane authenticatory poprzez przesłanie obiektu atestacji z fmt: "none", nawet gdy realm jest skonfigurowany do wymagania bezpośredniej atestacji. Może to prowadzić do osłabienia integralności uwierzytelniania i nieautoryzowanej rejestracji authenticatorów.

W Keycloak wykryto lukę, która pozwala atakującemu na modyfikację identyfikatora organizacji i docelowego adresu e-mail w ważnym tokenie zaproszenia JWT. Brak weryfikacji podpisu kryptograficznego umożliwia atakującemu samodzielną rejestrację w nieautoryzowanej organizacji.

W Keycloak wykryto podatność w przepływie jwt-authorization-grant, gdzie serwer nie sprawdza, czy dostawca tożsamości (IdP) jest włączony przed wydaniem tokenów. Mechanizm wyszukiwania IdP (lookupIdentityProviderFromIssuer) pobiera konfigurację, ale nie filtruje po isEnabled=false. Osoba posiadająca klucz podpisu wyłączonego IdP może nadal generować ważne asercje JWT, które Keycloak akceptuje, co prowadzi do wydania ważnych tokenów dostępowych.

Ten numer CVE został odrzucony. Po dalszej analizie przez projekt Keycloak i Red Hat stwierdzono, że zgłoszona podatność SSRF poprzez URI rejestracji klienta/powiadomień zwrotnych nie stanowi luki bezpieczeństwa. Opisane zachowanie jest oczekiwaną funkcjonalnością kontrolowaną przez administratora, a Keycloak zapewnia udokumentowane środki łagodzące poprzez Polityki Klienta.

W Keycloak znaleziono wadę związaną z nieprawidłową walidacją danych wejściowych. Keycloak akceptuje zgodne z RFC parametry macierzowe w segmentach ścieżek URL, podczas gdy typowe konfiguracje reverse proxy mogą je ignorować lub błędnie obsługiwać. Zdalny atakujący może tworzyć żądania maskujące segmenty ścieżek, potencjalnie omijając filtrowanie ścieżek na poziomie proxy. Może to ujawnić administracyjne lub wrażliwe punkty końcowe, które operatorzy uważają za nieosiągalne z zewnątrz.

W Keycloak znaleziono błąd. Zalecenia Keycloak mówią, aby nie wystawiać ścieżki /admin na zewnątrz, gdy instalacja używa proxy. Problem występuje przynajmniej przez ha-proxy, które może zostać oszukane do użycia względnych/nieznormalizowanych ścieżek, aby uzyskać dostęp do ścieżki /admin względem /realms, która powinna być wystawiona.

W Keycloak znaleziono lukę, która pozwala uwierzytelnionemu atakującemu na połączenie swojego konta z istniejącym kontem ofiary podczas logowania przez dostawcę tożsamości. Atakujący może zmienić swój adres e-mail na adres ofiary, co prowadzi do wysłania wiadomości weryfikacyjnej do ofiary.

W Keycloak pakiet org.keycloak.authorization może być podatny na obejście wymaganych akcji, takich jak konfiguracja uwierzytelniania dwuskładnikowego.

W Keycloak wykryto błąd polegający na tym, że przy uwierzytelnianiu opartym na tokenach JWT są one buforowane do momentu wygaśnięcia. Jeśli klient używa tokenów JWT z bardzo długim czasem ważności (np. 24 lub 48 godzin), pamięć podręczna może rosnąć w nieskończoność, prowadząc do błędu OutOfMemoryError.

W funkcji organizacji Keycloak wykryto błąd umożliwiający nieprawidłowe przypisanie organizacji do użytkownika, gdy jego nazwa użytkownika lub e-mail pasuje do wzorca domeny organizacji. Problem występuje na poziomie mappera i prowadzi do błędnego odwzorowania w tokenach.

W Keycloak wykryto usterkę, która pozwala użytkownikom Active Directory na ominięcie ograniczeń konta. Gdy użytkownik AD resetuje swoje hasło, system aktualizuje je bez wykonania bindowania LDAP w celu weryfikacji nowych poświadczeń. Dzięki temu użytkownicy z wygasłymi lub wyłączonymi kontami AD mogą odzyskać dostęp w Keycloak, omijając ograniczenia AD.

W Keycloak wykryto podatność, która pozwala użytkownikom administracyjnym na dostęp do wrażliwych zmiennych środowiskowych serwera i właściwości systemowych poprzez konfigurowalne adresy URL. Podczas konfigurowania adresów URL wylogowania backchannel lub adresów URL administratora, administratorzy mogą umieszczać placeholdery takie jak ${env.VARNAME} lub ${PROPNAME}, które serwer zastępuje rzeczywistymi wartościami podczas przetwarzania URL.

W Keycloak wykryto podatność na odmowę usługi, która pozwala użytkownikowi administracyjnemu z uprawnieniami do zmiany ustawień realm na zakłócenie działania usługi. Polega to na modyfikacji nagłówków bezpieczeństwa i wstawianiu znaków nowej linii, co powoduje, że serwer Keycloak zapisuje do już zakończonego żądania, prowadząc do jego niepowodzenia.

W Keycloak znaleziono podatność, w której opcja środowiskowa `KC_CACHE_EMBEDDED_MTLS_ENABLED` nie działa i konfiguracja replikacji JGroups jest zawsze używana w postaci zwykłego tekstu, co może pozwolić atakującemu mającemu dostęp do sąsiednich sieci związanych z JGroups na odczyt wrażliwych informacji.

W Keycloak Server znaleziono podatność na odmowę usługi (DoS) z powodu nieprawidłowego obsługiwania nagłówków proxy. Gdy Keycloak jest skonfigurowany do akceptowania nagłówków proxy, może przyjmować wartości niebędące adresami IP (np. zaciemnione identyfikatory) bez odpowiedniej walidacji, co prowadzi do kosztownych operacji DNS i może zablokować wątki IO, powodując DoS. Atakujący musi mieć dostęp do instancji Keycloak skonfigurowanej do akceptowania nagłówków proxy, gdy reverse proxy nie nadpisują nagłówków przychodzących.

Podatność w Keycloak pozwala użytkownikowi z wysokimi uprawnieniami na odczyt wrażliwych informacji z pliku Vault poza oczekiwanym kontekstem. Atakujący musi mieć wcześniejszy wysoki dostęp do serwera Keycloak, aby na przykład skonfigurować dostawcę LDAP i ustawić odczyt pliku Vault, co ujawnia jedynie, czy plik istnieje.

W Keycloak wykryto podatność polegającą na tym, że wrażliwe wartości, takie jak hasła, mogą być przechwytywane podczas procesu budowania i osadzane jako wartości domyślne w kodzie bajtowym, co prowadzi do nieautoryzowanego ujawnienia informacji. Dotyczy to również wartości ze zmiennych środowiskowych w Keycloak 26 oraz pośredniego użycia zmiennych środowiskowych w starszych wersjach.

Podatność w pakiecie Keycloak-services. Jeśli niezaufane dane zostaną przekazane do metody SearchQueryUtils, może to prowadzić do odmowy usługi (DoS) poprzez wyczerpanie zasobów systemowych z powodu złożoności wyrażeń regularnych.

W Keycloak znaleziono wadę błędnej konfiguracji. Może ona pozwolić atakującemu na przekierowanie użytkowników na dowolny adres URL, jeśli 'Valid Redirect URI' jest ustawione na http://localhost lub http://127.0.0.1, co umożliwia ujawnienie wrażliwych informacji, takich jak kody autoryzacyjne, potencjalnie prowadząc do przejęcia sesji.

W rejestracji klientów SAML w Keycloak wykryto błąd, który pozwala administratorowi na zarejestrowanie złośliwych URI JavaScript jako adresów URL POST Binding dla Assertion Consumer Service (ACS), co stwarza ryzyko Cross-Site Scripting (XSS). Może to umożliwić złośliwemu administratorowi w jednym realmie lub klientowi z prawem rejestracji atakowanie użytkowników w innych realmach lub aplikacjach, wykonując dowolny JavaScript w ich kontekście po przesłaniu formularza.

W Keycloak wykryto podatność na wstrzykiwanie logów. Poprzez formularz uwierzytelniania w trybie WebAuthn możliwe jest wstrzyknięcie tekstu do logów, co może nieznacznie wpłynąć na ich integralność.

Podatność w Keycloak polega na nieprawidłowym walidowaniu adresów URL zawartych w przekierowaniu. Atakujący może skonstruować złośliwe żądanie, aby ominąć walidację i uzyskać dostęp do innych adresów URL oraz wrażliwych informacji w obrębie domeny lub przeprowadzić dalsze ataki. Problem dotyczy klientów używających symbolu wieloznacznego w polu Valid Redirect URIs i wymaga interakcji użytkownika ze złośliwym adresem URL.

W Keycloak wykryto błąd w logice walidacji redirect_uri. Może on pozwolić na obejście jawnie dozwolonych hostów. Udany atak może doprowadzić do kradzieży tokenu dostępu, umożliwiając atakującemu podszycie się pod innych użytkowników.

W Keycloak wykryto błąd, który może pozwolić atakującemu na kradzież kodów autoryzacyjnych lub tokenów od klientów przy użyciu symbolu wieloznacznego w trybie odpowiedzi JARM "form_post.jwt". Może to posłużyć do obejścia poprawki bezpieczeństwa wdrożonej w celu rozwiązania problemu CVE-2023-6134.

W Keycloak wykryto błąd, który blokuje niektóre schematy w przekierowaniach, ale pozwala na nie, jeśli do tokenu dołączony zostanie symbol wieloznaczny. Może to pozwolić atakującemu na wysłanie specjalnie spreparowanego żądania prowadzącego do cross-site scripting (XSS) lub dalszych ataków. Błąd jest wynikiem niepełnej poprawki dla CVE-2020-10748.

W Keycloak wykryto podatność na nieograniczone zużycie pamięci. Można ją wywołać w środowiskach z milionami tokenów offline (ponad 500 000 użytkowników, z których każdy ma co najmniej 2 zapisane sesje). Jeśli atakujący utworzy dwie lub więcej sesji użytkownika i otworzy zakładkę "consents" w interfejsie administratora, UI próbuje załadować ogromną liczbę sesji klientów offline, co prowadzi do nadmiernego zużycia pamięci i CPU i może doprowadzić do awarii całego systemu.