CVE-2024-7318
Açıklama
Keycloak üzerinde bir güvenlik açığı bulundu. OTP belirteç süresi 30 saniyeye (varsayılan) ayarlandığında, FreeOTP kullanılırken süresi dolmuş OTP kodları hala kullanılabilmektedir. Belirteçlerin yaklaşık 30 saniye sonra sona erip kullanılamaz hale gelmesi gerekirken, ek olarak 30 saniye daha geçerli kalmakta ve toplamda 1 dakika boyunca kullanılabilmektedir. Son kullanma süresinden daha uzun süre geçerli olan tek seferlik şifreler, kötü niyetli aktörlerin sistemi suistimal etmesi ve hesapları ele geçirmesi için saldırı penceresini genişletir. Ayrıca, herhangi bir zamanda iki OTP'nin geçerli olması nedeniyle saldırı yüzeyini artırır.
Nasıl düzeltilir
- redhat build_of_keycloak24.0.7 ya da sonraki bir sürüm
- org.keycloak:keycloak-core24.0.7, 25.0.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | 22.0 ≤ v < 24.0.7 | 24.0.7 |
| org.keycloak:keycloak-coreMaven | v < 24.0.7, 25.0.0 ≤ v < 25.0.4 | 24.0.7, 25.0.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.