CVE-2023-6787
Açıklama
Keycloak'ta org.keycloak.authentication içindeki yeniden kimlik doğrulama mekanizmasındaki bir hatadan kaynaklanan bir güvenlik açığı bulundu. Bu güvenlik açığı, "prompt=login" sorgu parametresiyle yeni bir kimlik doğrulama süreci tetiklenerek ve kullanıcıdan kimlik bilgilerini yeniden girmesi istenerek etkin bir Keycloak oturumunun ele geçirilmesine olanak tanır. Kullanıcı "Restart login" seçeneğini seçerek bu yeniden kimlik doğrulamayı iptal ederse, farklı SUB değerine sahip yeni oturum önceki oturumla aynı SID'ye sahip olacağından hesap ele geçirme meydana gelebilir.
Nasıl düzeltilir
- redhat keycloak22.0.10, 24.0.3 ya da sonraki bir sürüm
- org.keycloak:keycloak-services22.0.10, 24.0.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat keycloak | v < 22.0.10, 23.0.0 ≤ v < 24.0.3 | 22.0.10, 24.0.3 |
| redhat build_of_keycloak | Aralık belirtilmemiş | — |
| org.keycloak:keycloak-servicesMaven | v < 22.0.10, 23.0.0 ≤ v < 24.0.3 | 22.0.10, 24.0.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.