CVE-2024-10492
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 51 - wyżej niż 51% wszystkich znanych CVE
Streszczenie
Podatność w Keycloak pozwala użytkownikowi z wysokimi uprawnieniami na odczyt wrażliwych informacji z pliku Vault poza oczekiwanym kontekstem. Atakujący musi mieć wcześniejszy wysoki dostęp do serwera Keycloak, aby na przykład skonfigurować dostawcę LDAP i ustawić odczyt pliku Vault, co ujawnia jedynie, czy plik istnieje.
Ocena ryzyka
Ryzyko polega na potencjalnym ujawnieniu informacji o istnieniu wrażliwych plików Vault, co może pomóc atakującemu w dalszych atakach. Wymaga to jednak już wysokich uprawnień, więc ryzyko jest ograniczone do scenariuszy z wewnętrznym zagrożeniem lub skompromitowanym administratorem.
Rekomendacja
Zaleca się ograniczenie uprawnień użytkowników z wysokim dostępem oraz monitorowanie działań związanych z konfiguracją Vault. Należy również rozważyć aktualizację Keycloak do wersji zawierającej poprawkę.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Keycloak. A user with high privileges could read sensitive information from a Vault file that is not within the expected context. This attacker must have previous high access to the Keycloak server in order to perform resource creation, for example, an LDAP provider configuration and set up a Vault read file, which will only inform whether that file exists or not.