Keycloak

Eine fehlerhafte Autorisierung in Azure Red Hat OpenShift (ARO) erlaubt es einem bereits berechtigten Angreifer, seine Privilegien über das Netzwerk auszuweiten. Der Angriff ist netzbasiert und mit geringem Aufwand durchführbar. CVSS-Basiswert: 9.1 (Kritisch).

LazyOwn RedTeam/APT Framework ist ein KI-gestütztes C2- und Red-Team-Framework. Vor Version 0.2.154 registriert die Datei lazyc2.py einen nicht authentifizierten Socket.IO-Eingabe-Event-Handler; die genaue nachgelagerte Auswirkung ist in den Quelldaten nicht vollständig belegt. Die Schwachstelle ist laut CVSS-Vektor über das Netzwerk, ohne erforderliche Rechte und ohne Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch).

Mehrere Hirschmann-Produkte der Reihen HiOS und HiSecOS (unter anderem RSP, RSPE, RSPS, RSPL, MSP, EES, EESX, GRS, OS, RED und EAGLE) enthalten eine Schwachstelle zur Authentifizierungsumgehung im HTTP(S)-Management-Modul, die es nicht authentifizierten Angreifern ermöglicht, geschützte Funktionen zu erreichen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Das LazyOwn RedTeam/APT Framework ist ein KI-gestütztes C2- und Red-Team-Tool. Vor Version 0.2.154 liefert es in payload.json und core/payload_schema standardmässig die Zugangsdaten LazyOwn/LazyOwn aus. CVSS-Basiswert: 9.8 (Kritisch).

goshs ist ein Single-Binary-Dateiserver für Red Teamer und Entwickler. Von Version 2.1.3 bis 2.1.4 prüfte der Passwort-Handler des SFTP-Servers (sftpserver/sftpserver.go) lediglich, ob Benutzername und Passwort nicht leer sind, statt die Anmeldedaten tatsächlich zu verifizieren. Dadurch können sich Angreifer mit beliebigen, nicht leeren Zugangsdaten am SFTP-Server anmelden. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf Version 2.1.4 oder neuer.

goshs ist ein Single-Binary-Datei-Server für Red Teamer und Entwickler. Vor Version 2.1.4 behandelte die Komponente wdGuard in httpserver/server.go WebDAV-MOVE-Anfragen lediglich als reine Schreiboperation und erzwang die vorgesehene Schutzmassnahme nicht. CVSS-Basiswert: 9.1 (Kritisch).

Im Application-Subscription-Controller (multicluster-operators-subscription) von Red Hat Advanced Cluster Management for Kubernetes (ACM) wurde eine Schwachstelle festgestellt, die im Zusammenhang mit Benutzern mit auf einen Namespace beschränkten „edit“-Rechten steht. Betroffen sind laut Zuordnung Kubernetes-nahe Red-Hat-Produkte (OpenShift/RHEV, RHSA) sowie Keycloak. CVSS-Basiswert: 9.9 (Kritisch).

In Undertow verwendet der ProxyProtocolReadListener dieselbe StringBuilder-Instanz über mehrere Anfragen hinweg, was auftritt, wenn die Methode parseProxyProtocolV1 mehrere Anfragen auf derselben HTTP-Verbindung verarbeitet. Dadurch können unterschiedliche Anfragen dieselbe StringBuilder-Instanz teilen, was zu einer Informationsoffenlegung zwischen Anfragen oder Antworten führen kann. In manchen Fällen wird ein Wert aus einer vorherigen Anfrage oder Antwort fälschlich wiederverwendet, was zu einer unbeabsichtigten Datenoffenlegung führen kann. Das Problem führt vor allem zu Fehlern und Verbindungsabbrüchen, birgt aber ein Risiko der Datenoffenlegung in Umgebungen mit vielen gleichzeitigen Anfragen. CVSS-Basiswert: 7.5 (Hoch).

In der Klasse XMLSignatureUtil von Keycloak wird bei der Validierung von SAML-Signaturen nicht korrekt geprüft, ob sich eine Signatur auf das gesamte Dokument oder nur auf bestimmte Teile davon bezieht. Dadurch kann eine gültige Signatur unter Umständen für ein manipuliertes Dokument als gültig akzeptiert werden. Betroffen sind Keycloak sowie LibreOffice als weiterer gemeldeter Produktbezug. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %.

In Keycloak wurde ein Fehler festgestellt, bei dem in einem Redirect enthaltene URLs nicht korrekt validiert werden. Dies kann einem Angreifer erlauben, eine bösartige Anfrage zu konstruieren, um die Validierung zu umgehen und auf andere URLs sowie sensible Informationen innerhalb der Domain zuzugreifen oder weitere Angriffe durchzuführen. Die Schwachstelle betrifft jeden Client, der ein Wildcard im Feld „Valid Redirect URIs“ verwendet, und erfordert eine Nutzerinteraktion mit der bösartigen URL. CVSS-Basiswert: 8.1 (Hoch).

In den von Keycloak bereitgestellten SAML-Adaptern wird die Session-ID sowie das JSESSIONID-Cookie beim Login nicht geändert, selbst wenn die Option turnOffChangeSessionIdOnLogin konfiguriert ist. Dadurch kann ein Angreifer, der die Session vor der Authentifizierung kapert, eine Session-Fixation auslösen. CVSS-Basiswert: 7.1 (Hoch).

In Keycloak kann ein nicht authentifizierter Angreifer über eine speziell präparierte POST-Anfrage mit einem überlangen scope-Parameter an den OIDC-Token-Endpunkt (OpenID Connect) einen hohen Ressourcenverbrauch und lange Verarbeitungszeiten auslösen. Dies führt letztlich zu einem Denial of Service des Keycloak-Servers. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Keycloak wird bei aktiviertem Preview-Feature für den JSON-Web-Token-(JWT)-Authorization-Grant der Status eines deaktivierten Benutzerkontos nicht korrekt geprüft. Betroffen ist das Produkt Keycloak. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In der SAML-Broker-Komponente von Keycloak (org.keycloak.broker.saml) kann ein deaktivierter SAML-Client, der als IdP-initiiertes Broker-Landing-Ziel konfiguriert ist, den Login-Vorgang dennoch abschliessen und eine Single-Sign-On-Sitzung aufbauen. Dadurch kann ein entfernter Angreifer unautorisierten Zugriff auf andere aktivierte Clients ohne erneute Authentifizierung erlangen und so Sicherheitsbeschränkungen umgehen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

Im local-filesystem-Speichermodul von Node-RED (getLibraryEntry() und saveLibraryEntry() in packages/node_modules/@node-red/runtime/lib/storage/localfilesystem/library.js) besteht eine über GET/POST erreichbare Schwachstelle. CVSS-Basiswert: 7.2 (Hoch).

In Keycloak wurde ein Fehler gefunden, der es einem Angreifer erlaubt, die Organisations-ID und die Ziel-E-Mail-Adresse im JSON-Web-Token-Payload (JWT) eines legitimen Einladungs-Tokens zu verändern. Da eine ausreichende Validierung fehlt, lässt sich das Token so manipulieren. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In Keycloak wurde laut NVD ein Fehler gefunden: Im jwt-authorization-grant-Flow prüft der Server nicht, ob ein Identity Provider (IdP) aktiviert ist, bevor Tokens ausgestellt werden. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der OIDC-Komponente von Keycloak wurde laut Quelle in der Funktion checkLoginIframe eine Schwachstelle gefunden, durch die unvalidierte Cross-Origin-Nachrichten verarbeitet werden. Dies ermöglicht Angreifern, koordiniert Millionen von Anfragen innerhalb weniger Sekunden auszulösen; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Keycloak wurde ein Fehler gefunden, der es einem Angreifer, der einen anderen Pfad auf demselben Webserver kontrolliert, erlaubt, den erlaubten Pfad in Redirect-URIs mit Wildcard zu umgehen. Ein erfolgreicher Angriff kann zum Diebstahl eines Access-Tokens und damit zu einer Informationsoffenlegung führen. Die Schwachstelle ist über das Netzwerk mit niedrigen Rechten und Benutzerinteraktion ausnutzbar. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierungen des Herstellers verfolgen und einspielen, sobald verfügbar.

In gnome-remote-desktop, wie es in Red Hat Enterprise Linux ausgeliefert wird, umgeht der Verbindungs-Handler des Daemons im System-Modus mit aktiviertem RDP die vorgesehene Verbindungsprüfung bei eingehenden Verbindungen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In Keycloak wurde ein Fehler im SingleUseObjectProvider gefunden, einem globalen Schlüssel-Wert-Speicher, dem eine korrekte Typ- und Namensraum-Isolation fehlt. Ein nicht authentifizierter Angreifer kann dadurch Autorisierungscodes fälschen; eine erfolgreiche Ausnutzung kann zur Erstellung von Access-Tokens mit Admin-Rechten und damit zu einer Rechteausweitung führen. CVSS-Basiswert: 7.4 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierungen des Herstellers verfolgen und einspielen, sobald verfügbar.

In Keycloak wurde ein Fehler gefunden, durch den ein entfernter Angreifer mit administrativen Rechten – konkret mit der Berechtigung manage-client oder Zugriff auf die Client-Registrierungsendpunkte – die Validierung der Client-URI umgehen kann. Dies gelingt durch die Registrierung eines bösartigen Clients mit einer speziell präparierten Redirect-URI, die ein case-insensitives javascript:- oder data:-Schema nutzt. Diese Cross-Site-Scripting-Schwachstelle erlaubt die Ausführung beliebigen Codes im Keycloak-Ursprung, wenn ein Opfer den präparierten Link anklickt, etwa im Logout-Ablauf oder in der Admin-Konsole. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierungen des Herstellers verfolgen und einspielen, sobald verfügbar.

Im Linux-Kernel wurde eine Schwachstelle in der Speicherverwaltung (mm/slab) behoben: Wenn beim Allozieren eine Initialisierung (Zeroing) angefordert wird, wird diese nicht mehr auf orig_size begrenzt, sofern nur Red Zoning aktiviert ist. Betroffen sind Produkte, die auf dem Linux-Kernel aufsetzen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten Kernel-Aktualisierungen einspielen.

In odh-dashboard, der Web-Konsole von Red Hat OpenShift AI (RHOAI), erlaubt eine fehlerhafte Netzwerkbindung einem Angreifer innerhalb des Clusters, die Authentifizierung zu umgehen und sich als anderer Nutzer auszugeben. CVSS-Basiswert: 8.8 (Hoch).

In Keycloak wurde ein Fehler gefunden, durch den ein entfernter Angreifer Sicherheitskontrollen umgehen kann, indem er eine gültige SAML-Antwort eines externen Identity Providers (IdP) an den SAML-Endpunkt von Keycloak für den IdP-initiierten Anmeldeprozess sendet. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle im Policy Enforcer von Keycloak erlaubt jedem authentifizierten Benutzer, sämtliche Autorisierungsrichtlinien zu umgehen – einschliesslich Rollen-, Scope- und UMA-Berechtigungsprüfungen (User-Managed Access). Durch Einfügen des konfigurierten access-denied-Pfads in die Anfrage-URL, als Pfadsegment oder als Query-Parameter, erhält ein Angreifer unautorisierten Zugriff auf geschützte Ressourcen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In der Verwaltung der Sicherheitsrichtlinien für die Dynamic Client Registration (DCR) von Keycloak wurde ein Fehler gefunden. Die Richtlinie „Allowed Protocol Mapper Types“, die einschränkt, welche Arten von Daten-Mappern ein Client verwenden darf, ist laut NVD davon betroffen. CVSS-Basiswert: 8.8 (Hoch). Ein EPSS-Wert liegt nicht vor.

In der cluster-proxy-Komponente service-proxy, die in Red Hat Advanced Cluster Management for Kubernetes (RHACM) und multicluster-engine (MCE) verwendet wird, wurde ein Fehler gefunden. Der service-proxy hängt dabei Impersonation-Angaben an Anfragen an. CVSS-Basiswert: 8.5 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In Keycloak kann ein authentifizierter Nutzer mit der Rolle uma_protection die Validierung von User-Managed-Access-Richtlinien (UMA) umgehen. Der Angreifer kann in einer Policy-Erstellungsanfrage Ressourcenkennungen anderer Nutzer angeben, selbst wenn der URL-Pfad eine ihm gehörende Ressource benennt. Dadurch erlangt er unautorisierte Berechtigungen an fremden Ressourcen, kann ein Requesting Party Token (RPT) erhalten und auf sensible Informationen zugreifen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Ein Sicherheitsfehler im Endpunkt IdentityBrokerService.performLogin von Keycloak erlaubt es, eine Authentifizierung über einen Identity Provider (IdP) fortzusetzen, obwohl dieser von einem Administrator deaktiviert wurde. Ein Angreifer, der den IdP-Alias kennt, kann eine zuvor erzeugte Login-Anfrage wiederverwenden, um die administrative Sperre zu umgehen. Dies untergräbt die Durchsetzung der Zugriffskontrolle und kann eine unautorisierte Authentifizierung über einen deaktivierten externen Provider ermöglichen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Red Hat Advanced Cluster Security for Kubernetes (RHACS) begrenzt die zentrale Komponente Central die Tiefe von GraphQL-Abfragen auf der authentifizierten GraphQL-API nicht. Ein authentifizierter Benutzer kann dies missbrauchen, um übermässig verschachtelte Abfragen abzusetzen. Der CVSS-Vektor weist eine hohe Auswirkung auf die Verfügbarkeit aus (S:C/A:H). CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Keycloak wurde eine Schwachstelle gefunden: Der SAML-Broker-Endpunkt (Security Assertion Markup Language) validiert verschlüsselte Assertions nicht korrekt, wenn die gesamte SAML-Antwort nicht signiert ist. Ein Angreifer kann dies ausnutzen, um die Integrität der Authentifizierung zu untergraben. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In den Authorization Services von Keycloak gleicht die Komponente PathMatcher Request-Pfade mit Sicherheitsrichtlinien ab. Laut NVD normalisiert sie URIs vor dem Vergleich nicht korrekt; die genauen Ausnutzungsschritte sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 8.1 (Hoch).

In Keycloak erlaubt eine fehlende Autorisierungsprüfung im Endpunkt GroupResource.addChild() der Admin-REST-API einem authentifizierten Benutzer mit eingeschränkten Administrationsrechten, beliebige bestehende Gruppen umzuhängen. Bei aktivierten Fine-Grained Admin Permissions v2 kann ein Angreifer mit Verwaltungsrechten über eine einzelne niedrig privilegierte Gruppe eine hoch privilegierte Gruppe (etwa mit der realm-admin-Rolle) unter seine verwaltete Gruppe hängen. Da Gruppenberechtigungen hierarchisch vererbt werden, erlangt der Angreifer dadurch Verwaltungs- und Passwort-Reset-Rechte über deren Mitglieder, was bis zur vollständigen Übernahme des Realms führen kann. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

goshs ist ein funktionsreicher Single-Binary-Dateiserver für Red Teamer und Entwickler. Vor Version 2.1.1 rief der bulkDownload-Handler in httpserver/updown.go für ZIP-Downloads über den Parameter ?bulk&file= die Pfadprüfung findEffectivePath nicht korrekt auf. Dadurch ist eine unautorisierte, aus der Ferne ohne Authentifizierung ausnutzbare Schwachstelle möglich. CVSS-Basiswert: 7.5 (Hoch).

HCL Hive Telco Observability ist über die enthaltene Keycloak-Komponente von fehlenden, erforderlichen Content-Security-Policy-Direktiven betroffen. Laut Quelle können fehlende essenzielle Direktiven eine Seite verwundbar machen; weitere Angaben sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Dynamic-Client-Registration-Komponente (DCR) von Keycloak, einer Identity- und Access-Management-Lösung, besteht laut NVD ein Fehler. Die Standard-DCR-Richtlinie validiert laut Beschreibung den Claim-Pfad für einen Benutzerparameter nicht korrekt; die Quellenbeschreibung bricht an dieser Stelle ab, weitere Details sind nicht belegt. CVSS-Basiswert: 8.1 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor.

In Keycloak kann ein authentifizierter Angreifer beim Zusammenführen von Konten während eines Identity-Provider-Logins zur Ansicht „Review Profile“ gelangen und dort seine E-Mail-Adresse auf die eines Opfers ändern. Dadurch wird eine Verifizierungs-E-Mail an die Adresse des Opfers ausgelöst, in deren Inhalt die E-Mail-Adresse des Angreifers nicht erscheint, was eine Phishing-Gelegenheit schafft. Klickt das Opfer auf den Verifizierungslink, kann der Angreifer Zugriff auf dessen Konto erlangen. CVSS-Basiswert: 7.1 (Hoch).

Im koku-metrics-operator für Red Hat OpenShift erlaubt die benutzerdefinierte Ressource CostManagementMetricsConfig einem Nutzer, der diese CR bearbeiten kann, eine beliebige Upload-URL anzugeben. CVSS-Basiswert: 7.6 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Im SAML-Broker-Bestandteil von Keycloak, der die Identitätsföderation und Benutzerauthentifizierung verwaltet, besteht laut NVD ein Fehler: Der IdP-initiierte Single-Sign-On-Endpunkt schlägt fehl; die weiteren Auswirkungen sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 7.4 (Hoch).

In Keycloak erlaubt eine JWT-Algorithmus-Confusion-Schwachstelle im JWT-Authorization-Grant-Flow einem Angreifer mit gültigen Client-Zugangsdaten, die Signaturprüfung zu umgehen. Durch das Fälschen einer Assertion kann der Angreifer unautorisierte Zugriffstoken erzeugen und jeden mit dem betroffenen Identity Provider verknüpften föderierten Benutzer imitieren, was zu unbefugtem Zugriff und möglicher Rechteausweitung führt. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.