CVE-2023-1664
Açıklama
Keycloak'ta bir açık bulundu. Bu açık, varsayılan olmayan "Revalidate Client Certificate" yapılandırmasının etkin olmasına ve ters proxy'nin sertifikayı Keycloak'tan önce doğrulamamasına bağlıdır. Bu yöntem kullanılarak bir saldırgan, sunucu tarafından doğrulanacak sertifikayı seçebilir. Eğer bu durum gerçekleşirse ve KC_SPI_TRUSTSTORE_FILE_FILE değişkeni eksikse veya yanlış yapılandırılmışsa, herhangi bir güven dosyası "Cannot validate client certificate trust: Truststore not available" günlük bilgisiyle kabul edilebilir. Saldırganın sunucuya erişimi olmayacağı için bu durum kullanılabilirliği etkilemeyebilir ancak tüketici uygulamalara olası bir erişim göz önüne alındığında, bu uygulamaların bütünlüğü veya gizliliği etkilenebilir. Ortamın "Revalidate Client Certificate" özelliğini kullanacak şekilde doğru ayarlandığı düşünüldüğünde, bu açık önlenebilirdir.
Nasıl düzeltilir
- org.keycloak:keycloak-core21.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat keycloak | Aralık belirtilmemiş | — |
| redhat build_of_quarkus | Aralık belirtilmemiş | — |
| redhat jboss_a-mq | 7 | — |
| redhat migration_toolkit_for_runtimes | Aralık belirtilmemiş | — |
| redhat single_sign-on | 7.0 | — |
| org.keycloak:keycloak-coreMaven | v < 21.1.2 | 21.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.