Keycloak 클라이언트 관리자가 realm 관리자 권한을 얻을 수 있는 결함
Red Hat 로그인 서버에서 일부 권한만 가진 사람이 전체 관리자가 될 수 있습니다.
요약
Keycloak의 프로토콜 매퍼와 신원 확인 처리에 결함이 있어, 클라이언트 관리 권한이 일부뿐인 공격자가 realm 관리자로 행세하며 realm 전체를 장악할 수 있습니다. Red Hat build of Keycloak 26.4와 26.6 라인이 해당합니다.
해당 조건
- 클라이언트 관리 권한이 일부 있는 공격자
- 서비스 계정 토큰에 hardcoded-claim 매퍼를 사용하는 경우
대처법
26.4 라인은 26.4.17로, 26.6 라인은 26.6.8로 업데이트하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- Red Hat build of Keycloak 26.4 26.4.17 이상
- Red Hat build of Keycloak 26.6 26.6.8 이상
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인