Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-120984 |
| Źródło alertu | GitHub Advisory - Krytyczna podatność |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-11-07 |
| Producent | Red Hat |
| Produkt | Keycloak |
| CVSS Score | 9.1 (Krytyczny) |
| EPSS Score | Brak danych |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Źródło: NVD, Red Hat
Dwie krytyczne podatności w Keycloak — serwerze zarządzania tożsamością i dostępem (IAM/SSO), rozwijanym jako projekt open source i dystrybuowanym przez Red Hat jako Red Hat build of Keycloak:
- CVE-2026-120984 (CVSS 9.1) — błąd w komponencie zarządzania klientami serwera Keycloak. Gdy klient jest tworzony lub importowany z włączonymi usługami autoryzacji (authorization services), system nie czyści poprawnie wewnętrznego atrybutu sesji używanego podczas konfiguracji. Uwierzytelniony atakujący z uprawnieniami do zarządzania klientami (manage-clients) może w ten sposób obejść zabezpieczenia i wgrać złośliwą politykę JavaScript, która jest wykonywana na serwerze przy żądaniu autoryzacji. Skuteczny atak pozwala uruchomić dowolny kod na serwerze i potencjalnie przejąć cały system.
- CVE-2026-117691 (CVSS 9.1) — błąd w implementacji wiązania SAML HTTP-Redirect. Serwer przetwarza nazwy parametrów zakodowane procentowo (np. %53AMLResponse), podczas gdy weryfikacja podpisu sprawdza wyłącznie dosłowne nazwy parametrów. Atakujący może wykorzystać tę rozbieżność, by podsunąć spreparowany, niepodpisany komunikat SAML, który serwer przetworzy zamiast prawidłowo podpisanego — co prowadzi do pełnego przejęcia kont użytkowników federacyjnych. Atak nie wymaga uwierzytelnienia.
Wymagane działania
- CVE-2026-117691: zaktualizuj Keycloak do wersji 26.8.2 (wydanie społecznościowe z 5 listopada 2026 r.), a Red Hat build of Keycloak do 26.6.9 (biuletyny RHSA-2026:96039 i RHSA-2026:96040). Red Hat Single Sign-On 7 według Red Hat nie jest podatny na ten błąd.
- CVE-2026-120984: na dzień publikacji alertu Red Hat oznacza Red Hat build of Keycloak i Red Hat Single Sign-On 7 jako podatne i nie wskazuje jeszcze wersji naprawczej ani oficjalnego obejścia. Śledź stronę CVE w Red Hat Customer Portal. Do czasu poprawki ogranicz rolę manage-clients do minimalnej grupy zaufanych administratorów, przejrzyj klientów z włączonymi usługami autoryzacji oraz istniejące polityki JavaScript i monitoruj zdarzenia administracyjne tworzenia i importu klientów.
- Jeśli korzystasz z federacji SAML (Keycloak jako broker tożsamości), po aktualizacji przejrzyj logi logowań federacyjnych pod kątem nietypowych sesji.
Kogo dotyczy?
Podatności dotyczą organizacji używających Keycloak (wydania społecznościowe) oraz Red Hat build of Keycloak firmy Red Hat jako centralnego systemu logowania (SSO) dla aplikacji wewnętrznych, portali klientów i API. CVE-2026-120984 dotyczy także Red Hat Single Sign-On 7. CVE-2026-117691 jest istotna szczególnie tam, gdzie Keycloak przyjmuje logowania przez zewnętrznych dostawców tożsamości SAML z wiązaniem HTTP-Redirect. Sprawdź także produkty i platformy, które dostarczają Keycloak jako komponent wbudowany.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
