Keycloak 26.6.x < 26.6.6 複数の脆弱性

medium Nessus プラグイン ID 338316

Language:

概要

リモートホストは、複数の脆弱性の影響を受けます。

説明

リモートホストにインストールされているKeycloakのバージョンは、26.6.6より前の26.6.xです。そのため、以下の複数の脆弱性の影響を受けます。

- Keycloak のレガシークライアントが開始するアカウントリンクエンドポイントに欠陥が見つかりました。アカウントリンクプロセスを不正なリクエストから保護するために使用されるメカニズムは、悪意のある OIDC クライアントによって予測可能なハッシュに依存しています。ユーザーを騙して認証させることにより、攻撃者がコントロールするクライアントが有効なリンク URL を偽造し、被害者のアカウントを攻撃者の外部 ID へと結び付ける可能性があります。これにより、アカウントが完全に乗っ取られ、攻撃者が被害者としてログインできるようになります。(CVE-2026-15571)

- Keycloakの管理インターフェイスに脆弱性が発見され、特定の管理者がアクセス権を持たないグループに関する情報を表示する可能性があります。ファイングレイン管理者アクセス許可 (FGAP v2) が有効な場合、特定のロールの表示を許可された管理者は、そのロールに割り当てられているすべてのグループのリストも表示できます。これは、管理者が特定のグループを表示するアクセス許可を持っているかどうかをシステムがチェックできないためです。(CVE-2026-14613)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。