CVE-2026-1180
Təsvir
Keycloak-un OpenID Connect Dynamic Client Registration funksiyasında, klientlər private_key_jwt vasitəsilə autentifikasiya olunduqda bir çatışmazlıq aşkar edilmişdir. Problem klientə istənilən jwks_uri təyin etməyə imkan verir və Keycloak hədəfi yoxlamadan həmin ünvanla əlaqə qurur. Bu, hücumçulara Keycloak serverini daxili və ya məhdudlaşdırılmış şəbəkə resurslarına HTTP sorğuları göndərməyə məcbur etməyə imkan yaradır. Nəticədə, hücumçular daxili xidmətləri və bulud metadata son nöqtələrini araşdıra bilər ki, bu da məlumat sızması və kəşfiyyat riski yaradır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.keycloak:keycloak-adapter-coreMaven | v ≤ 25.0.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.