CVE-2026-9792
Təsvir
Keycloak-un Client Policies hissəsində, xüsusilə `org.keycloak.protocol.oidc` komponentində çatışmazlıq aşkar edilmişdir. Təhlükəsizlik məhdudiyyətlərini tətbiq etmək üçün müəyyən şərt provayderlərindən (client-type, client-roles, client-attributes, client-scopes) istifadə edildikdə, `reject-ropc-grant` icraçısı səssiz şəkildə dövrü keçilir. Bu, autentifikasiya olunmamış uzaq hücumçuya, hətta siyasət bunu bloklamaq üçün açıq şəkildə konfiqurasiya edilsə belə, Resource Owner Password Credentials (ROPC) grant vasitəsilə tokenləri əldə etməyə imkan verir. Bu yan keçmə icazəsiz girişə və məlumat sızmasına səbəb ola bilər.
Necə düzəltmək olar
- org.keycloak:keycloak-services26.6.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redhat build_of_keycloak | Aralıq göstərilməyib | — |
| org.keycloak:keycloak-servicesMaven | 26.5.0 ≤ v < 26.6.3, v ≤ 26.4.7 | 26.6.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.