CVE-2026-37979
ŚrednieCVSS 6.5Streszczenie
W Keycloak odkryto lukę w kontroli dostępu, która pozwala poufnemu klientowi na ominięcie ograniczeń dotyczących odbiorców w punkcie introspekcji tokenów OpenID Connect (OIDC). Klient kontrolowany przez atakującego, posiadający ważne poświadczenia, może uzyskać dostęp do wrażliwych informacji zawartych w tokenach przeznaczonych dla innych serwerów zasobów.
Ocena ryzyka
Luka ta może prowadzić do naruszenia poufności lekkich tokenów dostępu, co stwarza poważne zagrożenie dla bezpieczeństwa danych w organizacji. Atakujący może zdalnie wykorzystać tę podatność, co zwiększa ryzyko nieautoryzowanego dostępu do wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację Keycloak do najnowszej wersji, aby załatać tę lukę. Dodatkowo, warto przeprowadzić audyt uprawnień i poświadczeń klientów, aby zminimalizować ryzyko nieautoryzowanego dostępu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Keycloak. This access control vulnerability in Keycloak's OpenID Connect (OIDC) token introspection endpoint allows a confidential client to bypass audience restrictions. An attacker-controlled client with valid credentials can retrieve sensitive token claims intended for other resource servers, compromising the confidentiality of lightweight access tokens. This issue can be exploited remotely by any confidential client in the realm with valid credentials.