Keycloak 26.x < 26.0.10/26.1.x < 26.1.3/26.2.0 不適切な認証

medium Nessus プラグイン ID 216477

Language:

概要

リモートホストに１つ以上のセキュリティ更新がありません。

説明

リモートホストにインストールされている Keycloak のバージョンは、26.0.10 より前の 26.0、26.1.3 より前の 26.1、26.2.0 より前です。したがって、不適切な認証の脆弱性の影響を受けます。Keycloak 組織機能に欠陥が見つかりました。これにより、ユーザー名またはメールが組織のドメインパターンと一致する場合に、組織をユーザーに不適切に割り当てることができます。この問題はマッパーレベルで発生し、トークンでの不正確な表示につながります。アプリケーションがこれらの承認の要求に依存している場合、ユーザーがメンバーではない組織に属していると誤って想定し、承認されていないアクセスや権限を付与する可能性があります。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。