CVE-2026-15572
Açıklama
Keycloak'un Dynamic Client Registration (DCR) güvenlik politikası yönetiminde bir kusur bulundu. Bir istemcinin kullanabileceği veri eşleyici türlerini kısıtlayan "Allowed Protocol Mapper Types" politikası, eşleyicinin yapılandırması değişmeden kaldığında bir istemci güncellemesi sırasında eşleyici türünü yeniden doğrulamaz. İstemci kayıt ayrıcalıklarına sahip bir saldırgan, önce kötü amaçlı bir yapılandırmayla izin verilen bir eşleyici türünü kaydedip ardından bunu kısıtlı, yüksek ayrıcalıklı bir eşleyici türüyle (örneğin yönetici rollerini sabit kodlayan bir tür) değiştirerek bunu istismar edebilir. Bu, saldırganın Keycloak realm'ine tam yönetici erişimi elde etmesine olanak tanır.
Nasıl düzeltilir
- redhat build_of_keycloak26.4.14, 26.6.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | 26.4 ≤ v < 26.4.14, 26.6 ≤ v < 26.6.5 | 26.4.14, 26.6.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.