RATATOSKRATATOSK
ログイン

Keycloak

26.8.1Security
2026年10月13日

ACTION 7CHECK 21OTHER 19

セキュリティに関する多数の問題を修正したメンテナンスリリースです。認証、管理、アイデンティティブローカー、認可、クラスタリングに関わる修正に加え、依存関係も更新されています。

要対応 (7)

  • securityhighcom.fasterxml.jackson.core:jackson-databindを更新

    com.fasterxml.jackson.core:jackson-databindを更新しました。

  • securitymedium管理者資格情報の削除による権限回避を修正

    管理者資格情報の削除操作が、拒否されたパスワードリセット権限を回避していた問題を修正しました。

  • securitymediumレルム間リソースの読み書きを修正

    RealmCacheSessionのリクエスト単位のセッションキャッシュを介して、別レルムのリソースを読み書きできる問題を修正しました。

  • securitymediumユーザー更新によるパスワードリセット権限回避を修正

    一般ユーザー更新処理が、拒否されたパスワードリセット権限を回避していた問題を修正しました。

  • securitytools.jackson.core:jackson-databindを更新

    複数の問題に対応するため、tools.jackson.core:jackson-databindを更新しました。

  • securitysimple-gitを更新

    複数の問題に対応するため、simple-gitを更新しました。

  • security空パスワードによるユーザー名推測を修正

    空のパスワードを使った応答時間からユーザー名を推測できる問題を修正しました。

影響確認 (21)

  • securitymediumOIDC identity providerのシークレット再利用を修正

    OIDC identity providerを利用し、token URLを設定している場合に該当します。

    token URLの変更後もマスク済みクライアントシークレットを再利用していた問題を修正しました。

  • securitymediumアイデンティティプロバイダー経由の誤アカウントリンクを修正

    nullまたはGitHub identity providerを利用している場合に該当します。

    nullまたはGitHub identity providerを介した、誤ったアカウントへのリンクが継続する問題を修正しました。

  • securitymediumグループ参加によるrealm-admin権限取得を修正

    適用対象はリリースノートに明記されていません。

    manage-users בלבדを持つ委任管理者が、管理者ロールを割り当てたグループへの参加または作成によってrealm-adminになれる問題を修正しました。

  • securitymedium認可サービスのユーザー閲覧権限確認を修正

    Authorization Services policy evaluation endpointを利用している場合に該当します。

    Authorization Services policy evaluation endpointでユーザーの閲覧権限確認が欠落していた問題を修正しました。

  • securitymediumPARの単回利用回避を修正

    PARを利用している場合に該当します。

    prompt=noneによってPARの単回利用を回避できる問題を修正しました。

  • securitymedium信頼されていないプロキシ経路でのOTP判定を修正

    適用対象はリリースノートに明記されていません。

    信頼されていないプロキシ経路で、条件付きOTPがスキップヘッダーを信頼していた問題を修正しました。

  • securitymediumKerberosパスワード認証時のKDCなりすまし対策

    Kerberos password authenticationを設定している場合に該当します。

    Kerberos password authenticationの有効時に、KDCなりすまし攻撃の可能性がある問題を修正しました。

  • securitymediumAdmin REST APIのグループ開示を修正

    Admin REST APIを利用している場合に該当します。

    Admin REST APIのroles/{role-name}/groupsが、呼び出し元に閲覧権限のないグループを開示していた問題を修正しました。

  • securitymedium標準トークン交換のmTLS certificate binding回避を修正

    Standard Token Exchangeを利用し、mTLS certificate bindingを設定している場合に該当します。

    Standard Token Exchangeが、クライアント証明書未提供時に必要なmTLS certificate bindingを回避してベアラートークンを発行していた問題を修正しました。

  • securitymediumX.509 CRL Distribution Pointのパス逸脱を修正

    X.509 CRL Distribution Pointを利用している場合に該当します。

    X.509 CRL Distribution Pointで指定したCRLパスが$KC_HOME/confの外部へ移動できる問題を修正しました。

  • securitymediumSMTP StartTLSの平文ダウングレードを修正

    SMTP starttlsを設定している場合に該当します。

    SMTP starttls=trueの設定で、認証情報とメッセージが平文へダウングレードされる問題を修正しました。

  • securitymediumFGAP v2のカスタムロール注入による権限回避を修正

    FGAP v2とoidc-hardcoded-role-mapperを利用している場合に該当します。

    oidc-hardcoded-role-mapperを使ったFGAP v2のカスタムロール注入がremoveTransientAdminRolesを回避していた問題を修正しました。

  • securitylowOIDCブローカーの未署名ログアウトトークン受け入れを修正

    signature validationを設定していない場合に該当します。

    署名検証を無効にした場合に、署名のない偽造ログアウトトークンを受け入れていた問題を修正しました。

  • securitylow2要素認証設定の強制回避を修正

    /realms/{realm}/login-actions/restartを利用している場合に該当します。

    /realms/{realm}/login-actions/restartを利用した2要素認証設定の強制回避を修正しました。

  • securitylowUMAスコープのリソース所有者間混入を修正

    UMAを利用している場合に該当します。

    resolveResourcePermissionの名前衝突によって、リソース所有者間でUMAスコープが統合される問題を修正しました。

  • securitylowブローカーログインのメトリクス系列増加を修正

    broker login endpointを利用している場合に該当します。

    broker login endpointのidpタグによってメトリクス系列が無制限に作成される問題を修正しました。

  • securityKerberosの完全なSPNEGO資格情報記録を修正

    Kerberosを利用し、TRACE loggingを設定している場合に該当します。

    Kerberos TRACE loggingが完全なSPNEGO資格情報を記録していた問題を修正しました。

  • security動的クライアント登録によるSSFイベントアクセス有効化を修正

    Dynamic client registrationを利用している場合に該当します。

    Dynamic client registrationが特権付きSSFイベントアクセスを自動的に有効化していた問題を修正しました。

  • securitySAML SLOの未認証セッション終了を修正

    SAML SLOを利用している場合に該当します。

    SAML SLOのLogoutRequest (SessionIndex)を使って、認証なしで任意のセッションを終了できる問題を修正しました。

  • securitySAMLブローカーの署名検証対象の不一致を修正

    SAML broker HTTP-Redirect bindingを利用している場合に該当します。

    SAML broker HTTP-Redirect bindingで、クエリ文字列の署名対象と処理対象のSAMLResponseが異なる問題を修正しました。

  • securityFGAP v2でのLDAPユーザー検索結果を修正

    FGAP v2とLDAPを利用している場合に該当します。

    FGAP v2で、インポートされていないLDAPユーザーが、検索権限を委任された管理者の検索結果に含まれていた問題を修正しました。

その他の記録済み変更 19 件すべてfixes 19

fixes (19)

  • DockerEndpoint does not validate invalidRequestMessage after parsing authorization request
  • Organizations: Invitation link can be used by multiple users due to missing single-use check
  • refresh-vs-revoke race in strict mode (revokeRefreshToken=true) defeats token revocation
  • Ensure max consumed respone size is respected for OCSP and CRLs
  • SimpleHttpResponse connection pool leak in identity brokering flows
  • Rotated-out client JWKS key and CRL stays valid on all but one node (keys cache invalidation event has no listener)
  • SimpleHttpResponse: connection pool leak on invalid charset and case-sensitive Content-Encoding check
  • Group members endpoint sometimes returns 200 and empty list instead of 500 when DB is down
  • Client sessions attached to offline user sessions via token exchange are created with OFFLINE_FLAG=0, causing orphaned OFFLINE_CLIENT_SESSION rows
  • HttpServerUtil.sendResponse drops the headers it is given
  • Organization invite: link in the plain-text part of the email is HTML-escaped and unusable
  • Authenticator Reference is incorrectly masked after CVE-2026-16104 fix
  • Admin Console "Sign out" on one user session unexpectedly logs out a different, unrelated session for the same user
  • Token introspection omits act claim for token-exchange delegation tokens
  • Realm settings - security defenses
  • RoleSelect lost its undefined guard on form values, so Permissions → Evaluation crashes when Roles is selected
  • Regression with Trust Email when the userinfo endpoint is used
  • JGroups certificate reload blocks the view handling thread and hides task failures
  • JGroups TCP sends to healthy nodes are blocked by an unreachable node when virtual threads are disabled
Keycloakをスタックに追加

対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。

スタックに追加 →
公式リリースノート ↗Keycloakのリリース一覧 →