Keycloak: Unzureichende SAML-Signaturvalidierung ermöglicht Manipulation

Beschreibung

In der Klasse XMLSignatureUtil von Keycloak wird bei der Validierung von SAML-Signaturen nicht korrekt geprüft, ob sich eine Signatur auf das gesamte Dokument oder nur auf bestimmte Teile davon bezieht. Dadurch kann eine gültige Signatur unter Umständen für ein manipuliertes Dokument als gültig akzeptiert werden. Betroffen sind Keycloak sowie LibreOffice als weiterer gemeldeter Produktbezug. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 2.0 %.

Changelog

1. 2026-08-04 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Keycloak

• HTTP/2 Rapid Reset Attack Vulnerability KEV CVE-2023-44487
• Red Hat Polkit – Incorrect Authorization (Privilege Escalation) KEV CVE-2021-3560
• Microsoft Windows MSDT Remote Code Execution Vulnerability KEV CVE-2022-30190
• Red Hat JBoss – Authentication Bypass Vulnerability KEV CVE-2010-0738
• Red Hat JBoss – Information Disclosure KEV CVE-2010-1428
• OpenSSL – Information Disclosure (Heartbleed) KEV CVE-2014-0160