CVE-2024-10451
Açıklama
Keycloak'ta bir açık bulundu. Bu sorun, parolalar gibi hassas çalışma zamanı değerlerinin Keycloak derleme işlemi sırasında yakalanabilmesi ve bayt koduna varsayılan değerler olarak gömülmesi nedeniyle oluşmakta ve istenmeyen bilgi ifşasına yol açmaktadır. Keycloak 26'da, derleme işlemi sırasında ortam değişkenlerinde doğrudan belirtilen hassas veriler de varsayılan değerler olarak saklanmakta ve bu durum söz konusu verilere çalışma zamanında erişilebilir hale gelmektedir. SPI seçenekleri ve Quarkus özellikleri için ortam değişkenlerinin dolaylı kullanımı da PropertyMapper mantığı tarafından koşulsuz genişletildiği için savunmasızdır ve 26.0.2 sürümüne kadar olan tüm Keycloak versiyonlarında hassas verilerin varsayılan değerler olarak yakalanmasına neden olmaktadır.
Nasıl düzeltilir
- org.keycloak:keycloak-quarkus-server24.0.9, 26.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.keycloak:keycloak-quarkus-serverMaven | v < 24.0.9, 25.0.0 ≤ v < 26.0.6 | 24.0.9, 26.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.