CVE-2026-16093
Açıklama
Keycloak, istemcilerin kimlik doğrulama için imzalı JWT'ler kullanmasını zorunlu kılmak gibi güvenlik gereksinimlerini uygulamak amacıyla Client Policies adı verilen bir mekanizma sunar. Bu zorunluluğun atlatılabildiği bir açık keşfedilmiştir. Geçerli istemci kimlik bilgilerine sahip bir saldırgan, sistemin politika gereksinimlerinin karşılandığını düşünmesini sağlayacak sahte ve imzasız bir assertion başlığı sunabilir. Bu durum, yönetici daha güvenli ve imzalı assertion'ları zorunlu kılmış olsa bile, saldırganın istemci sırrı (client secret) gibi daha basit yöntemleri kullanarak kimlik doğrulaması yapmasına olanak tanır.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | Aralık belirtilmemiş | — |
| redhat data_grid | 8.0 | — |
| redhat jboss_enterprise_application_platform_expansion_pack | Aralık belirtilmemiş | — |
| redhat single_sign-on | 7.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.