CVE-2024-5967
Açıklama
Keycloak üzerinde bir güvenlik açığı bulundu. LDAP test uç noktası, mevcut yapılandırılmış LDAP bağlama kimlik bilgilerini yeniden girmeye gerek kalmadan Bağlantı URL'sinin bağımsız olarak değiştirilmesine izin vermektedir. Bu açık, yönetici erişimine (manage-realm izni) sahip bir saldırganın, LDAP ana bilgisayar URL'sini ("Bağlantı URL'si") kontrol ettikleri bir makineyle değiştirmesine olanak tanır. Keycloak sunucusu, saldırganın ana bilgisayarına bağlanacak ve yapılandırılmış kimlik bilgileriyle kimlik doğrulamaya çalışacaktır; bu durum söz konusu bilgilerin saldırgana sızmasına neden olur. Sonuç olarak, yönetici konsolunu ele geçiren veya yeterli ayrıcalıklara sahip bir kullanıcıyı manipüle eden bir saldırgan, etki alanı kimlik bilgilerini sızdırabilir ve etki alanına saldırabilir.
Nasıl düzeltilir
- org.keycloak:keycloak-ldap-federation25.0.1, 22.0.12, 24.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.keycloak:keycloak-ldap-federationMaven | 25.0.0 ≤ v < 25.0.1, v < 22.0.12, 23.0.0 ≤ v < 24.0.6 | 25.0.1, 22.0.12, 24.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.