Keycloak
26.8.2Security認証、認可、サービス拒否、データ整合性に関わる多数のセキュリティ問題を修正したメンテナンスリリースです。依存関係の更新と通常の不具合修正も含まれています。
要対応 (8)
securitycritical組み込みBrotliデコーダーの範囲外書き込み修正
組み込みのBrotliデコーダーで発生する範囲外書き込みを修正しました。
securityhighセッションなしトークンのプリンシパル置換修正
クライアント管理者がセッションのないトークンのプリンシパルを置き換え、レルムを乗っ取れる問題を修正しました。
securityhigh認証処理の競合によるアカウント乗っ取り修正
認証処理の競合によってアカウントを乗っ取れる問題を修正しました。
securitymediumアカウント連携後に残るフォールバック証明の修正
アカウント連携の成功後やセルフサービスの連携解除後も、クロスブラウザーのフォールバック証明が残る問題を修正しました。
securitymediumログインページの保存型XSS修正
kcSanitizeの回避によってログインページに保存型XSSが成立する問題を修正しました。security挿入された
id_token_hintによるセッション乗っ取り修正攻撃者が挿入した
id_token_hintを使い、被害者のログアウトを契機にセッションを乗っ取れる問題を修正しました。securityグループ管理者の拒否設定回避修正
グループ管理者の拒否設定を、トップレベルへの移動で回避できる問題を修正しました。
security
default-rolesへのロール追加権限修正クライアント作成権限だけを持つプリンシパルが、レルムの
default-rolesにロールを追加できる問題を修正しました。
影響確認 (27)
securitycritical
SAML redirect bindingの署名検証回避修正SAML redirect bindingを使用している場合に該当します。SAML redirect bindingで、パーセントエンコードされたパラメーター名を使って署名検証を回避できる問題を修正しました。securityhigh古い
SSO_AUTHノートによるアカウント乗っ取り修正Organization identity-first loginを使用している場合に該当します。Organization identity-first loginで古い
SSO_AUTHノートが残り、アカウントの乗っ取りにつながる問題を修正しました。securityhighテーマgzipキャッシュによるディスク容量消費
Keycloak <= 26.に依存している場合に該当します。8. 0 テーマのgzipキャッシュによって、認証なしで永続的にディスク容量を消費できる問題を修正しました。
securityhigh
Keycloak SAML endpointのサービス拒否修正SAML endpointを公開している場合に該当します。Keycloak SAML endpointで、認証なしのサービス拒否が発生する問題を修正しました。securityhigh
SAML 1.の1 KeyInfoパーサーループ修正SAML 1.を使用している場合に該当します。1 SAML 1.の1 KeyInfoパーサーが正規のds:KeyNameでループし、認証なしでCPUとワーカープールを使い果たす問題を修正しました。securityhigh
SAML 1.の1 AuthorityBindingパーサーループ修正SAML 1.を使用している場合に該当します。1 SAML 1.の1 AuthorityBindingパーサーのループにより、1回のリクエストで認証なしにJVMがOutOfMemoryErrorで終了する問題を修正しました。securityhigh
UMAのresourceType検証UMAを使用している場合に該当します。UMAのユーザー管理権限にあるresourceTypeフィールドを検証せず、所有者の異なるリソースへアクセスできる問題を修正しました。securityhigh
SAML adapterの発行者検証SAML adapterを使用している場合に該当します。SAML adapterが、設定されていない発行者からのアサーションを受け入れる問題を修正しました。securityhigh
kcadmカスタムトラストストアの証明書検証kcadmを使用している場合に該当します。kcadmのカスタムトラストストアが、任意の自己署名証明書を信頼する問題を修正しました。securityhigh
DCRプロトコルマッパーによるID偽装修正DCRを使用している場合に該当します。既定で許可された
DCRプロトコルマッパーが予約済みのsubおよびaudクレームを書き込み、IDを偽装できる問題を修正しました。securityhigh未検証IdPメールアドレス自動連携の修正
IdP email auto-linkingを使用している場合に該当します。未検証のIdPメールアドレス自動連携によって、アカウントを乗っ取れる問題を修正しました。
securityhigh
SAML SOAP endpointのXML解析制限SAML SOAP endpointを公開している場合に該当します。SAML SOAP endpointで、XMLを無制限に解析してサービス拒否を引き起こせる問題を修正しました。securityhigh
SAML BrokerのHolder-of-Key検証SAML Brokerを使用している場合に該当します。SAML Brokerが、鍵の所有証明なしのHolder-of-Keyアサーションを受け入れる問題を修正しました。securityhigh
jsonType=JSONのProtocol mapper修正Protocol mapperを使用し、jsonType=JSONを設定している場合に該当します。jsonType=JSONを設定したProtocol mapperが、CVE-2026-16102の修正を回避できる問題を修正しました。securitymedium
Device Authorization Grantのminimum.適用acr. value Device Authorization Grantを使用している場合に該当します。Device Authorization Grantで、クライアントごとのminimum.による制限が適用されない問題を修正しました。acr. value securitymedium
OIDC DCRによるオフライン・トークン失効の無効化OIDC DCRを使用している場合に該当します。OIDC DCRの読み取り、変更、書き込み処理によって、バックチャネルログアウト時のオフライン・トークン失効が意図せず無効になる問題を修正しました。securitymedium
CIBAのsubパラメーター注入修正CIBAを使用している場合に該当します。CIBAのsubパラメーター注入によって、攻撃者の認証で被害者のトークンが発行される問題を修正しました。securitymedium
FGAP v2複合ロールマッピングの権限修正FGAP v2を有効にしている場合に該当します。FGAP v2の複合ロールマッピングで、manage-users権限を持つ利用者がrealm-adminを含むラッパーを割り当てられる問題を修正しました。security
MySQLおよびMariaDBの影響行数処理MySQLまたはMariaDBに依存している場合に該当します。ログイン失敗のupsert処理が、
MySQLおよびMariaDBの影響行数をそのまま信頼する問題を修正しました。security
DCRのazpおよびsidクレーム置換修正DCRを使用している場合に該当します。DCRのazpおよびsidクレームがUser Property mapperで置き換えられ、Account RESTの被害者セッションを乗っ取れる問題を修正しました。security
DCR登録時のrealm_access.偽造修正roles DCRを使用している場合に該当します。DCRの登録時に、属性マッパーがユーザー編集可能なフィールドからrealm_access.を偽造できる問題を修正しました。roles security
token exchangeトークンの無制限有効期限修正token exchangeを使用している場合に該当します。token exchangeで発行したトークンの有効期限が無制限になる問題を修正しました。security
Stateless tokenのID再割り当て修正Stateless tokenを使用している場合に該当します。Stateless tokenのpreferred_usernameフォールバックによって、クライアント再作成後にIDを再割り当てできる問題を修正しました。security
SAML Identity BrokerのProxyRestriction処理SAML Identity Brokerを使用している場合に該当します。SAML Identity BrokerがProxyRestrictionを無視し、許可されていない下流アサーションを発行できる問題を修正しました。security
Admin APIのaudience検証Admin APIを公開している場合に該当します。Admin APIでaudienceの検証が欠落していた問題を修正しました。security
SAML SLOのIssuer偽装修正SAML SLOを使用している場合に該当します。SAML SLOで、署名のないクライアントが偽装したIssuerを使って被害者のSPになりすませる問題を修正しました。security組織ドメインゲートのメール検証
organization domain gateを設定している場合に該当します。未検証のブローカー由来メールアドレスが、組織ドメインのゲート条件を満たしてしまう問題を修正しました。
その他の記録済み変更 18 件すべてfixes 17 · value changes 1
fixes (17)
- Realm client-session stats disclose hidden clients under FGAP v2
- JWE key-management algorithm not validated against provisioned key algorithm on request object decryption
- Harden PathMatcher URI normalization for leading dot segments and authority-less schemes
- Keycloak Maximum Concurrent Session Limit is incorrectly registered as a login failure, triggering Keycloak's Brute Force protection
- FGAP V2: isInternal denylist missing admin-permissions client allows delegated admin to update it
- Realm import: JSON representation migration fails with LazyInitializationException when a users file is present
- Much open UDP Sockets after some Time
- Theme resources intermittently 404 on a cold gzip cache
- BCFIPS imports only the first certificate from a multi-certificate PEM trust bundle
- IdentityBrokerService fires duplicate error events and reflects user input in responses
- Concurreny issue in JAXPValidationUtil
- Operator Helm chart renders null version labels because Chart.yaml lacks appVersioN
- ISPN000427 timeout on distributed caches when entry lock is contended during topology change
- Original exception is swallowed by NullPointerException when acquiring the database lock fails
- NullPointerException in KeycloakLogFilter after failed startup as the Profile is no longer initialized
- Periodic user storage sync runs at twice the configured period when a sync takes longer than ~1 second
- Validate keycloak locale before setting to KEYCLOAK_LOCALE Cookie
value changes (1)
- Upgrade to Quarkus 3.40.1.1
対応が必要なリリースが出たときに、週次メールでお知らせします。 今回のセキュリティパッチも、その一例です。