Keycloak Seite 3

Im secure-client-uris-Client-Policy-Executor von Keycloak, der Sicherheitsanforderungen an Client-Konfigurationen durchsetzt, wurde eine Schwachstelle identifiziert. Eine Ausnutzung erfordert eine Nutzerinteraktion und einen hohen Angriffsaufwand. CVSS-Basiswert: 4.2 (Mittel).

Keycloak bietet die Möglichkeit, sich über Microsoft-Konten anzumelden und den Zugriff dabei auf eine bestimmte Organisation (Tenant) zu beschränken. Laut NVD wurde eine Schwachstelle entdeckt, bei der diese Zugriffsbeschränkung unter bestimmten Bedingungen ignoriert wird. Betroffen ist die Identity-and-Access-Management-Lösung von Red Hat / CNCF. CVSS-Basiswert: 6.8 (Mittel).

In der ClientResource-Komponente der Admin-Services von Keycloak besteht bei aktivierten Fine-Grained Admin Permissions (FGAP) v2 ein Fehler. Dieser erlaubt es einem delegierten Administrator, der laut Quelltext nur eingeschränkte Rechte haben sollte, diese Einschränkung zu umgehen; weitere Details liegen im verfügbaren Text nicht vor. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im LDAP-Storage-Provider von Keycloak, der zur Föderation von Benutzeridentitäten aus externen Verzeichnissen dient, wurde laut NVD ein Fehler gefunden. Er tritt auf, wenn ein delegierter Administrator eine Suche durchführt. Weitere Details zu den Auswirkungen sind in den Quelldaten nicht enthalten. CVSS-Basiswert: 5.4 (Mittel). Laut Zuordnung sind zudem HPE Storage, IBM Storage und Pure Storage betroffen.

In Keycloak besteht eine Schwachstelle im default-groups-REST-Endpunkt und in der Realm-Repräsentation. Diese Komponente verwaltet Gruppen, die neuen Benutzern innerhalb eines Realms automatisch zugewiesen werden. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: bereitgestellte Aktualisierungen der betroffenen Komponente einspielen.

In der Admin-UI-Erweiterung von Keycloak wurde laut NVD eine Schwachstelle entdeckt, die es bestimmten administrativen Nutzern erlaubt, Sicherheitsbeschränkungen zu umgehen. Betroffen sind Installationen mit aktivierten Fine-Grained Admin Permissions (FGAPv2). CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im full-scope-disabled Client-Policy-Executor der keycloak-services- Komponente besteht laut NVD eine Schwachstelle. Diese Komponente ist für die Durchsetzung von Sicherheitsrichtlinien während der Client-Registrierung zuständig; die NVD-Quellbeschreibung bricht bei der Nennung weiterer Details ab. CVSS-Basiswert: 5.4 (Mittel).

In der SAML-Broker-Komponente von Keycloak, einer Identity-and-Access-Management-Lösung, besteht ein Fehler: Bei Konfiguration als SAML-Broker über den IdP-Initiated-Flow setzt Keycloak eine Kontrolle im Zusammenhang mit einem einmalig gültigen Token nicht durch; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 6.4 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet und nicht mit Ransomware-Kampagnen in Verbindung gebracht. Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Im Bestandteil keycloak-services von Red Hat Build of Keycloak wurde laut NVD ein Fehler gefunden: OAuth-2.0-Autorisierungscodes werden nicht korrekt an den Client gebunden, der sie ursprünglich angefordert hat. Dadurch lassen sich Autorisierungscodes unter bestimmten Bedingungen missbrauchen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Betroffene sollten die verfügbaren Hersteller-Updates einspielen.

Eine Schwachstelle in der TokenManager-Komponente des Keycloak-Identitätsmanagementdienstes betrifft den Widerruf von Tokens für einen bestimmten Client mittels einer not-before-Richtlinie: Der zugehörige Mechanismus greift dabei nicht wie vorgesehen. CVSS-Basiswert: 4.2 (Mittel).

Leantime 3.6.2 enthält im Login-Controller eine Open-Redirect-Schwachstelle. Nicht authentifizierte Angreifer können authentifizierte Nutzer durch Manipulation eines Redirect-Parameters auf beliebige externe Seiten umleiten. CVSS-Basiswert: 6.1 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In Keycloak wurde eine Schwachstelle gefunden, durch die ein Nutzer mit hohen Berechtigungen sensible Informationen aus einer Vault-Datei lesen kann, die ausserhalb des erwarteten Kontexts liegt. Voraussetzung ist, dass der Angreifer bereits über einen bestehenden hochprivilegierten Zugriff verfügt. CVSS-Basiswert: 2.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

Die Keycloak-Dokumentation empfiehlt, den Pfad /admin bei Einsatz eines Proxys nicht nach aussen freizugeben. Laut NVD tritt das Problem zumindest über ha-proxy auf; wie genau sich dies im Detail auslösen lässt, führt die (abgeschnittene) Quellbeschreibung nicht vollständig aus. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In Keycloak besteht eine unsachgemässe Eingabevalidierung: Keycloak akzeptiert RFC-konforme Matrix-Parameter in URL-Pfadsegmenten, während gängige Reverse-Proxy-Konfigurationen diese laut Quelle abweichend handhaben; die weiteren Details der Quellbeschreibung sind abgeschnitten. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Ein Fehler in der keycloak-services-Komponente von Keycloak tritt laut NVD auf, wenn ein Realm-Administrator eine Wildcard-Domain (z. B. *.example.com) konfiguriert. Betroffen ist die Identity-and-Access-Management-Lösung von Red Hat / CNCF. CVSS-Basiswert: 3.7 (Niedrig).

In der WebAuthn-Registrierungskomponente von Keycloak wurde ein Fehler gefunden. Er erlaubt es einem Angreifer laut NVD, die konfigurierte Attestation-Policy zu umgehen und nicht vertrauenswürdige oder gefälschte Authenticatoren zu registrieren. CVSS-Basiswert: 3.1 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In der keycloak-services-Komponente, die OpenID-Connect-Authentifizierungsabläufe verarbeitet, greift der Sicherheitscheck gegen HTTP-Parameter-Manipulation nicht wie vorgesehen. CVSS-Basiswert: 3.4 (Niedrig).

In der SAML-Protokollimplementierung von Keycloak, einer Open-Source-Lösung für Identity- und Access-Management, liegt eine Schwachstelle vor. Sie tritt auf, wenn Keycloak bestimmte SAML-Authentifizierungsanfragen verarbeitet; der genaue Ablauf ist in den Quelldaten nicht vollständig dokumentiert. CVSS-Basiswert: 3.4 (Niedrig).

Im Backchannel-Logout-Endpunkt der keycloak-services-Komponente des Red Hat Build of Keycloak, die für Authentifizierung und Session-Management zuständig ist, wurde eine Schwachstelle gefunden. CVSS-Basiswert: 3.7 (Niedrig), Vektor AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L – der Angriff erfolgt über das Netzwerk bei hoher Angriffskomplexität und wirkt sich ausschliesslich auf die Verfügbarkeit aus. Für diese CVE liegt keine EPSS-Bewertung vor.