CVE-2026-37979
Açıklama
Keycloak'ta bir açık bulundu. Keycloak'ın OpenID Connect (OIDC) token introspection uç noktasındaki bu erişim kontrolü zafiyeti, gizli bir istemcinin hedef kitle (audience) kısıtlamalarını atlatmasına olanak tanır. Geçerli kimlik bilgilerine sahip saldırgan kontrollü bir istemci, diğer kaynak sunucuları için amaçlanan hassas token taleplerini (claims) elde ederek hafifletilmiş erişim tokenlarının gizliliğini tehlikeye atabilir. Bu sorun, realm içindeki geçerli kimlik bilgilerine sahip herhangi bir gizli istemci tarafından uzaktan istismar edilebilir.
Nasıl düzeltilir
- redhat build_of_keycloak26.4.12 ya da sonraki bir sürüm
- org.keycloak:keycloak-services26.6.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat build_of_keycloak | 26.4 ≤ v < 26.4.12 | 26.4.12 |
| org.keycloak:keycloak-servicesMaven | v < 26.6.2 | 26.6.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.