Patch Ticker

Keycloak SAML 어댑터가 발급자를 확인하지 않아 다른 사용자로 로그인 가능

로그인 서버에서 다른 사람으로 들어가 관리자 권한을 얻을 수 있습니다.

요약

Keycloak의 SAML 어댑터가 서명된 로그인 정보의 발급자를 확인하지 않습니다. 같은 서명 키를 공유하는 여러 신원 공급자 중 하나를 통제하는 공격자가 다른 사용자로 로그인해 관리자 권한까지 얻을 수 있습니다.

해당 조건

  • 여러 신원 공급자가 같은 서명 키를 공유
  • SAML 인증을 사용하는 애플리케이션

대처법

26.4 라인은 26.4.17로, 26.6 라인은 26.6.8로 업데이트하세요. 업데이트 전에 설치본을 백업하세요.

내 제품에 맞는 버전 이상으로 업데이트하세요:

  • Red Hat build of Keycloak 26.4 26.4.17 이상
  • Red Hat build of Keycloak 26.6 26.6.8 이상

대상 제품과 운영체제

  • Linux
  • Red Hat AMQ Broker 7
  • Red Hat build of Keycloak 26.4
  • Red Hat build of Keycloak 26.4.17
  • Red Hat build of Keycloak 26.6
  • Red Hat build of Keycloak 26.6.8
  • Red Hat Fuse 7
  • Red Hat JBoss Enterprise Application Platform 7
  • Red Hat JBoss Enterprise Application Platform 8
  • Red Hat JBoss Enterprise Application Platform Expansion Pack
  • Red Hat Satellite 6
  • Red Hat Single Sign-On 7

CVE 번호

원문 링크

시각

처음 게시

처음 확인