Keycloak 26.0.8 複数の脆弱性 (26_0_8)

medium Nessus プラグイン ID 214216

Language:

概要

リモートホストに１つ以上のセキュリティ更新がありません。

説明

リモートホストにインストールされている Keycloak のバージョンは、26.0.8 より前です。したがって、26_0_8 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

- Keycloak にサービス拒否の脆弱性が見つかりました。これにより、レルム設定を変更する権限を持つ管理ユーザーがサービスを中断できる可能性があります。このアクションは、セキュリティヘッダーのいずれかを変更し、改行を挿入することによって実行されます。これにより、Keycloak サーバーは既に終了しているリクエストに書き込みを行い、そのリクエストは失敗します。(CVE-2024-11734)

- Keycloak に脆弱性が見つかりました。管理ユーザーは、ユーザーが構成可能な URL を通じて、機密性の高いサーバー環境変数やシステムプロパティにアクセスする必要がある場合があります。バックチャネルログアウト URL または管理 URL を構成する際、管理ユーザーは ${env.VARNAME} や ${PROPNAME} のようなプレースホルダーを含めることができます。サーバーは、URL 処理中にこれらのプレースホルダーを環境変数またはシステムプロパティの実際の値に置き換えます。(CVE-2024-11736)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。