CVE-2024-9666
Açıklama
Keycloak Server'da bir güvenlik açığı bulundu. Keycloak Server, proxy başlıklarının uygun şekilde işlenmemesi nedeniyle hizmet reddi (DoS) saldırısına karşı savunmasızdır. Keycloak gelen proxy başlıklarını kabul edecek şekilde yapılandırıldığında, gizlenmiş tanımlayıcılar gibi IP olmayan değerleri uygun doğrulama yapmadan kabul edebilir. Bu durum, maliyetli DNS çözümleme işlemlerine yol açabilir ve bir saldırgan bunu IO thread'lerini meşgul etmek ve potansiyel olarak hizmet reddine neden olmak için kullanabilir. Saldırganın; özellikle ters proxy'lerin gelen başlıkların üzerine yazmadığı ve Keycloak'un bu başlıklara güvenecek şekilde yapılandırıldığı durumlarda, proxy başlıklarını kabul eden bir Keycloak örneğine istek gönderme erişimine sahip olması gerekir.
Nasıl düzeltilir
- org.keycloak:keycloak-quarkus-server26.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.keycloak:keycloak-quarkus-serverMaven | Aralık belirtilmemiş, 25.0.0 ≤ v < 26.0.6 | 26.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.