CVE-2025-12150
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W komponencie rejestracji WebAuthn w Keycloak znaleziono wadę. Podatność pozwala atakującemu ominąć skonfigurowaną politykę atestacji i zarejestrować niezaufane lub sfałszowane authenticatory poprzez przesłanie obiektu atestacji z fmt: "none", nawet gdy realm jest skonfigurowany do wymagania bezpośredniej atestacji. Może to prowadzić do osłabienia integralności uwierzytelniania i nieautoryzowanej rejestracji authenticatorów.
Ocena ryzyka
Atakujący może zarejestrować niezaufane authenticatory, co może osłabić bezpieczeństwo uwierzytelniania i umożliwić nieautoryzowany dostęp do kont użytkowników.
Rekomendacja
Zaktualizuj Keycloak do wersji z poprawką. Dodatkowo rozważ wzmocnienie polityki atestacji i monitorowanie rejestracji WebAuthn.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Keycloak’s WebAuthn registration component. This vulnerability allows an attacker to bypass the configured attestation policy and register untrusted or forged authenticators via submission of an attestation object with fmt: "none", even when the realm is configured to require direct attestation. This can lead to weakened authentication integrity and unauthorized authenticator registration.