CVE-2024-9666
Təsvir
Keycloak Server-də zəiflik aşkar edilmişdir. Proxy başlıqlarının yanlış idarə olunması səbəbindən Keycloak Server xidmətdən imtina (DoS) hücumuna qarşı həssasdır. Keycloak daxil olan proxy başlıqlarını qəbul etmək üçün konfiqurasiya edildikdə, düzgün yoxlama aparmadan gizlədilmiş identifikatorlar kimi qeyri-IP dəyərlərini qəbul edə bilər. Bu problem resurs tələb edən DNS resolution əməliyyatlarına səbəb ola bilər ki, bu da hücumçu tərəfindən IO thread-lərini məşğul etmək və potensial olaraq xidmətdən imtinaya səbəb olmaq üçün istifadə edilə bilər. Hücumçu, proxy başlıqlarını qəbul etmək üçün konfiqurasiya edilmiş Keycloak instansiyasına sorğular göndərmək imkanına malik olmalıdır; xüsusilə reverse proxy-lər daxil olan başlıqları yeniləmədikdə və Keycloak bu başlıqlara etibar etmək üçün konfiqurasiya edildikdə.
Necə düzəltmək olar
- org.keycloak:keycloak-quarkus-server26.0.6 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.keycloak:keycloak-quarkus-serverMaven | Aralıq göstərilməyib, 25.0.0 ≤ v < 26.0.6 | 26.0.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.