Keycloak < 26.3.0 フィッシングの脆弱性

medium Nessus プラグイン ID 242321

Language:

概要

リモートホストに１つ以上のセキュリティ更新がありません。

説明

リモートホストにインストールされている Keycloak のバージョンは、26.3.0 より前です。したがって、フィッシングの脆弱性の影響を受けます。Keycloak に欠陥が見つかりました。認証された攻撃者が、アイデンティティプロバイダーIdPのログイン中に、アカウントを別の既存のアカウントと統合しようとすると、その後、「プロファイル情報を確認する」ように指示されます。この脆弱性により、攻撃者はメールアドレスを被害者のアカウントのものと一致するように変更し、被害者のメールアドレスに検証メールを送信する可能性があります。攻撃者のメールアドレスが検証メールのコンテンツに存在しないため、フィッシングの機会となる可能性があります。被害者が検証リンクをクリックすると、攻撃者は被害者のアカウントへのアクセス権を取得できます。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。