CVE-2026-9801

Wada w listenerze metryk zdarzeń użytkownika Micrometer w Keycloak występuje, gdy listener jest skonfigurowany do uwzględniania tagu idp. Nieuwierzytelniony atakujący może wysyłać żądania do endpointu logowania brokera tożsamości z dowolnymi aliasami dostawców, powodując tworzenie nieograniczonej liczby szeregów czasowych metryk, co prowadzi do nadmiernego zużycia pamięci i degradacji wydajności serwera oraz narzędzi monitorujących.

W komponencie keycloak-services wykryto usterkę w przepływie pierwszego logowania brokera. Umożliwia ona atakującemu zarejestrowanie pasującej nazwy użytkownika u zewnętrznego dostawcy tożsamości, co powoduje kolizję w Keycloak i zablokowanie legalnego użytkownika.

Keycloak to open-source'owe rozwiązanie do zarządzania tożsamością i dostępem. Wykryto podatność, w której użytkownik posiadający rolę impersonacji może podszyć się pod administratora realm, uzyskując pełną kontrolę administracyjną nad realm, w tym możliwość zarządzania użytkownikami, klientami i rolami.

Wykryto lukę w endpointach lokalizacji motywów komponentu keycloak-services, który jest kluczową usługą odpowiedzialną za przepływy uwierzytelniania i zarządzanie motywami w Keycloak. Problem polega na tym, że system przyjmuje dowolne znaczniki locale z nieuwierzytelnionych żądań i przechowuje je w trwałym cache w pamięci bez ograniczeń. Atakujący może wysłać dużą liczbę unikalnych znaczników locale, doprowadzając do wyczerpania pamięci i awarii serwera.

Wada w implementacji SAML Redirect Binding w Keycloak polega na tym, że niestandardowe pomocniki kompresji i dekompresji DEFLATE nie zwalniają natywnej pamięci zlib po użyciu. Nieuwierzytelniony atakujący może wysyłać powtarzające się zniekształcone żądania SAML, prowadząc do wyczerpania natywnej pamięci i odmowy usługi.

Znaleziono błąd w dostawcy polityk grupowych usług autoryzacji Keycloak, który jest używany do zarządzania precyzyjną kontrolą dostępu do zasobów. Problem występuje, gdy system ocenia polityki oparte na grupach przy użyciu tokenów zawierających tylko nazwy grup, a nie pełne ścieżki. Jeśli dwie grupy w różnych częściach organizacji mają tę samą nazwę, użytkownik z nieautoryzowanej grupy może zostać uznany za członka autoryzowanej grupy. Może to pozwolić użytkownikowi na nieautoryzowany dostęp do chronionych zasobów, do których nie powinien mieć dostępu.

Wykryto, że ciasteczko używane do zapobiegania CSRF w Keycloak nie było unikalne dla każdej sesji. Atakujący mógł wykorzystać tę lukę, aby uzyskać dostęp do sesji uwierzytelnionego użytkownika, co może prowadzić do ujawnienia informacji lub dalszych ataków.

Wykryto błąd w mechanizmie dostawcy wymaganych akcji w Keycloak. Gdy żądanie autoryzacji zawiera parametr kc_action wskazujący na obowiązkową akcję już przypisaną użytkownikowi (np. weryfikację profilu lub regulamin), Keycloak może pominąć te obowiązkowe wyzwania i wydać kod autoryzacyjny.

Wykryto błąd w punkcie końcowym rejestracji zasobów UMA w komponencie keycloak-services. Gdy włączone jest zdalne zarządzanie zasobami, uwierzytelniony użytkownik z określonymi uprawnieniami może zaktualizować zasoby, których nie jest właścicielem, podając w żądaniu identyfikator docelowego zasobu.

W polityce klienta secure-redirect-uris-enforcer w Keycloak, rozwiązaniu do zarządzania tożsamością i dostępem, wykryto błąd. Występuje on, gdy polityka zezwala na adresy loopback, ponieważ Keycloak rozwiązuje nazwy hostów przez DNS podczas walidacji. Atakujący może obejść ograniczenia listy dozwolonych domen, używając nazwy hosta rozwiązującej się na adres loopback, co potencjalnie pozwala zarejestrować nieautoryzowane URI przekierowania.