Keycloak <= 26.3.3 コードインジェクションGHSA-w2wj-hw98-233h

medium Nessus プラグイン ID 256694

Language:

概要

リモートホストに１つ以上のセキュリティ更新がありません。

説明

リモートホストにインストールされている Keycloak のバージョンは、以前です 26.3.3。したがって、GHSA-w2wj-hw98-233hアドバイザリに記載されているコードインジェクションの脆弱性の影響を受けます。

- org.keycloak/keycloak-model-storage-service に欠陥が見つかりました。KeycloakRealmImport カスタムリソースは、インポートされたレルムドキュメント内でプレースホルダーを置き換え、環境変数を参照する可能性があります。この置換プロセスにより、細工されたレルムドキュメントが処理されるとき、インジェクション攻撃が可能になります。攻撃者がこれを悪用して、レルムインポート手順中に悪意のあるコンテンツを挿入する可能性があります。これは、Keycloak環境内で意図しない結果を招く可能性があります。CVE-2025-9162

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。