CVE-2026-15572
Təsvir
Keycloak-un Dinamik Klient Qeydiyyatı (Dynamic Client Registration - DCR) təhlükəsizlik siyasətinin idarə edilməsində boşluq aşkar edilmişdir. Klientin hansı məlumat xəritələçisi (data mapper) növlərindən istifadə edə biləcəyini məhdudlaşdıran "Allowed Protocol Mapper Types" siyasəti, əgər xəritələçinin konfiqurasiyası dəyişməzsə, klient yeniləməsi zamanı xəritələçinin növünü yenidən yoxlamır. Klient qeydiyyatı imtiyazlarına malik olan hücumçu, əvvəlcə zərərli konfiqurasiya ilə icazə verilmiş xəritələçini qeydiyyata almaqla və sonra onu məhdudiyyətli, yüksək imtiyazlı xəritələçi növü ilə (məsələn, inzibati rolları sabit şəkildə təyin edən bir növ ilə) əvəz etməklə bu boşluqdan istifadə edə bilər. Bu, hücumçuya Keycloak realm-nə tam inzibati giriş əldə etməyə imkan verir.
Necə düzəltmək olar
- redhat build_of_keycloak26.4.14, 26.6.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redhat build_of_keycloak | 26.4 ≤ v < 26.4.14, 26.6 ≤ v < 26.6.5 | 26.4.14, 26.6.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.