Podatności Keycloak

W Keycloak Server znaleziono podatność na odmowę usługi (DoS) z powodu nieprawidłowego obsługiwania nagłówków proxy. Gdy Keycloak jest skonfigurowany do akceptowania nagłówków proxy, może przyjmować wartości niebędące adresami IP (np. zaciemnione identyfikatory) bez odpowiedniej walidacji, co prowadzi do kosztownych operacji DNS i może zablokować wątki IO, powodując DoS. Atakujący musi mieć dostęp do instancji Keycloak skonfigurowanej do akceptowania nagłówków proxy, gdy reverse proxy nie nadpisują nagłówków przychodzących.

Podatność w Keycloak pozwala użytkownikowi z wysokimi uprawnieniami na odczyt wrażliwych informacji z pliku Vault poza oczekiwanym kontekstem. Atakujący musi mieć wcześniejszy wysoki dostęp do serwera Keycloak, aby na przykład skonfigurować dostawcę LDAP i ustawić odczyt pliku Vault, co ujawnia jedynie, czy plik istnieje.

W Keycloak wykryto podatność polegającą na tym, że wrażliwe wartości, takie jak hasła, mogą być przechwytywane podczas procesu budowania i osadzane jako wartości domyślne w kodzie bajtowym, co prowadzi do nieautoryzowanego ujawnienia informacji. Dotyczy to również wartości ze zmiennych środowiskowych w Keycloak 26 oraz pośredniego użycia zmiennych środowiskowych w starszych wersjach.

Podatność w pakiecie Keycloak-services. Jeśli niezaufane dane zostaną przekazane do metody SearchQueryUtils, może to prowadzić do odmowy usługi (DoS) poprzez wyczerpanie zasobów systemowych z powodu złożoności wyrażeń regularnych.

W Keycloak znaleziono wadę błędnej konfiguracji. Może ona pozwolić atakującemu na przekierowanie użytkowników na dowolny adres URL, jeśli 'Valid Redirect URI' jest ustawione na http://localhost lub http://127.0.0.1, co umożliwia ujawnienie wrażliwych informacji, takich jak kody autoryzacyjne, potencjalnie prowadząc do przejęcia sesji.

W rejestracji klientów SAML w Keycloak wykryto błąd, który pozwala administratorowi na zarejestrowanie złośliwych URI JavaScript jako adresów URL POST Binding dla Assertion Consumer Service (ACS), co stwarza ryzyko Cross-Site Scripting (XSS). Może to umożliwić złośliwemu administratorowi w jednym realmie lub klientowi z prawem rejestracji atakowanie użytkowników w innych realmach lub aplikacjach, wykonując dowolny JavaScript w ich kontekście po przesłaniu formularza.

W Keycloak wykryto podatność na wstrzykiwanie logów. Poprzez formularz uwierzytelniania w trybie WebAuthn możliwe jest wstrzyknięcie tekstu do logów, co może nieznacznie wpłynąć na ich integralność.

Podatność w Keycloak polega na nieprawidłowym walidowaniu adresów URL zawartych w przekierowaniu. Atakujący może skonstruować złośliwe żądanie, aby ominąć walidację i uzyskać dostęp do innych adresów URL oraz wrażliwych informacji w obrębie domeny lub przeprowadzić dalsze ataki. Problem dotyczy klientów używających symbolu wieloznacznego w polu Valid Redirect URIs i wymaga interakcji użytkownika ze złośliwym adresem URL.

W Keycloak wykryto błąd w logice walidacji redirect_uri. Może on pozwolić na obejście jawnie dozwolonych hostów. Udany atak może doprowadzić do kradzieży tokenu dostępu, umożliwiając atakującemu podszycie się pod innych użytkowników.

W Keycloak wykryto błąd, który może pozwolić atakującemu na kradzież kodów autoryzacyjnych lub tokenów od klientów przy użyciu symbolu wieloznacznego w trybie odpowiedzi JARM "form_post.jwt". Może to posłużyć do obejścia poprawki bezpieczeństwa wdrożonej w celu rozwiązania problemu CVE-2023-6134.

W Keycloak wykryto błąd, który blokuje niektóre schematy w przekierowaniach, ale pozwala na nie, jeśli do tokenu dołączony zostanie symbol wieloznaczny. Może to pozwolić atakującemu na wysłanie specjalnie spreparowanego żądania prowadzącego do cross-site scripting (XSS) lub dalszych ataków. Błąd jest wynikiem niepełnej poprawki dla CVE-2020-10748.

W Keycloak wykryto podatność na nieograniczone zużycie pamięci. Można ją wywołać w środowiskach z milionami tokenów offline (ponad 500 000 użytkowników, z których każdy ma co najmniej 2 zapisane sesje). Jeśli atakujący utworzy dwie lub więcej sesji użytkownika i otworzy zakładkę "consents" w interfejsie administratora, UI próbuje załadować ogromną liczbę sesji klientów offline, co prowadzi do nadmiernego zużycia pamięci i CPU i może doprowadzić do awarii całego systemu.