RATATOSKRATATOSK
로그인

Keycloak

26.8.2Security
2026년 11월 5일

ACTION 8CHECK 27OTHER 18

인증, 권한 부여, 서비스 거부, 데이터 무결성과 관련된 보안 취약점을 폭넓게 수정한 유지 보수 릴리스입니다. 의존성 업데이트와 일반적인 버그 수정도 포함합니다.

조치 필요 (8)

  • securitycriticalBrotli 디코더의 범위 밖 쓰기 수정

    CVE-2026-111497에서 포함된 Brotli 디코더의 범위를 벗어난 쓰기 문제를 수정했습니다.

  • securityhigh세션 없는 토큰 주체 교체에 따른 영역 탈취 수정

    CVE-2026-97847에서 클라이언트 생성 권한만 가진 주체가 세션 없는 토큰의 주체를 바꾸고 영역을 탈취할 수 있던 문제를 수정했습니다.

  • securityhigh인증 처리 경쟁 상태에 따른 계정 탈취 수정

    CVE-2026-103112에서 인증 처리 경쟁 상태로 계정을 탈취할 수 있던 문제를 수정했습니다.

  • securitymedium계정 연결 뒤 남는 브라우저 간 대체 인증 증명 수정

    CVE-2026-92358에서 계정 연결 성공과 셀프서비스 연결 해제 뒤에도 브라우저 간 대체 인증 증명이 남는 문제를 수정했습니다.

  • securitymedium로그인 페이지의 저장형 XSS 수정

    CVE-2026-107889에서 kcSanitize 우회를 이용해 로그인 페이지에 저장형 XSS가 발생하던 문제를 수정했습니다.

  • security주입된 id_token_hint를 이용한 세션 탈취 수정

    CVE-2026-107124에서 주입된 id_token_hint를 이용한 피해자 로그아웃으로 세션을 탈취할 수 있던 문제를 수정했습니다.

  • security그룹 관리자 DENY 우회 수정

    CVE-2026-96457에서 최상위 이동을 이용해 그룹 관리자 DENY 검사를 우회할 수 있던 문제를 수정했습니다.

  • securitydefault-roles 역할 주입 수정

    CVE-2026-109081에서 클라이언트 생성 권한만 가진 주체가 영역의 default-roles에 역할을 주입할 수 있던 문제를 수정했습니다.

영향 확인 (27)

  • securitycriticalSAML redirect binding 서명 검사 우회 수정

    SAML redirect binding을 사용하는 경우에 적용됩니다.

    CVE-2026-117691에서 퍼센트로 인코딩된 매개변수 이름으로 SAML redirect binding 서명 검사를 우회할 수 있던 문제를 수정했습니다.

  • securityhigh조직 우선 로그인에서 오래된 SSO_AUTH 메모로 계정 탈취가 가능한 문제 수정

    Organization identity-first login을 사용하는 경우에 적용됩니다.

    CVE-2026-112208에서 조직 우선 로그인에 남은 SSO_AUTH 메모로 계정을 탈취할 수 있던 문제를 수정했습니다.

  • securityhigh테마 gzip 캐시를 이용한 영구 디스크 소진 수정

    Keycloak <= 26.8.0에 의존하는 경우에 적용됩니다.

    CVE-2026-110932에서 테마 gzip 캐시를 이용해 인증 없이 영구 디스크를 소진할 수 있던 문제를 수정했습니다.

  • securityhighKeycloak SAML endpoint의 인증 없는 서비스 거부 수정

    SAML endpoint를 외부에 공개하는 경우에 적용됩니다.

    CVE-2026-107123에서 Keycloak SAML endpoint를 통해 인증 없이 서비스 거부를 일으킬 수 있던 문제를 수정했습니다.

  • securityhighSAML 1.1 KeyInfo 파서 반복에 따른 자원 소진 수정

    SAML 1.1을 사용하는 경우에 적용됩니다.

    CVE-2026-107602에서 적법한 ds:KeyName을 처리하는 SAML 1.1 KeyInfo 파서 반복으로 인증 없이 CPU와 작업자 풀을 소진할 수 있던 문제를 수정했습니다.

  • securityhighSAML 1.1 AuthorityBinding 파서 반복에 따른 JVM 종료 수정

    SAML 1.1을 사용하는 경우에 적용됩니다.

    CVE-2026-110931에서 SAML 1.1 AuthorityBinding 파서 반복으로 한 번의 요청만으로 인증 없이 JVM을 종료시킬 수 있던 문제를 수정했습니다.

  • securityhighUMA resourceType 검증 누락에 따른 리소스 접근 수정

    UMA를 사용하는 경우에 적용됩니다.

    CVE-2026-114232에서 UMA 사용자 관리 권한의 resourceType 필드를 검증하지 않아 다른 소유자의 리소스에 접근할 수 있던 문제를 수정했습니다.

  • securityhighSAML adapter의 발급자 검증 수정

    SAML adapter를 사용하는 경우에 적용됩니다.

    CVE-2026-93998에서 SAML adapter가 설정된 발급자와 다른 발급자의 어설션을 받아들이던 문제를 수정했습니다.

  • securityhighkcadm 사용자 지정 신뢰 저장소의 인증서 신뢰 범위 수정

    kcadm을 사용하는 경우에 적용됩니다.

    CVE-2026-96453에서 kcadm 사용자 지정 신뢰 저장소가 임의의 자체 서명 인증서를 신뢰하던 문제를 수정했습니다.

  • securityhighDCR 프로토콜 매퍼의 예약 클레임 기록 수정

    DCR을 사용하는 경우에 적용됩니다.

    CVE-2026-92857에서 기본 허용된 DCR 프로토콜 매퍼가 예약된 sub 및 aud 클레임을 기록해 신원을 위조할 수 있던 문제를 수정했습니다.

  • securityhigh검증되지 않은 IdP 이메일 자동 연결 수정

    IdP email auto-linking을 사용하는 경우에 적용됩니다.

    CVE-2026-97175에서 검증되지 않은 IdP 이메일 자동 연결로 계정을 탈취할 수 있던 문제를 수정했습니다.

  • securityhighSAML SOAP endpoint의 무제한 XML 파싱 수정

    SAML SOAP endpoint를 외부에 공개하는 경우에 적용됩니다.

    CVE-2026-82965에서 SAML SOAP endpoint의 제한 없는 XML 파싱으로 서비스 거부를 일으킬 수 있던 문제를 수정했습니다.

  • securityhighSAML Broker의 Holder-of-Key 증명 검증 수정

    SAML Broker를 사용하는 경우에 적용됩니다.

    CVE-2026-92855에서 Keycloak SAML Broker가 키 보유 증명 없이 Holder-of-Key 어설션을 받아들이던 문제를 수정했습니다.

  • securityhighjsonType=JSON Protocol mapper의 보안 수정 우회 방지

    Protocol mapper를 사용하고 jsonType=JSON을 설정한 경우에 적용됩니다.

    CVE-2026-97848에서 jsonType=JSON으로 설정한 Protocol mapper가 CVE-2026-16102 수정 사항을 우회하던 문제를 수정했습니다.

  • securitymediumDevice Authorization Grant의 minimum.acr.value 적용 우회 수정

    Device Authorization Grant를 사용하는 경우에 적용됩니다.

    CVE-2026-105305에서 클라이언트별 minimum.acr.value 적용을 우회하던 문제를 수정했습니다.

  • securitymediumOIDC DCR의 오프라인 토큰 폐기 비활성화 수정

    OIDC DCR을 사용하는 경우에 적용됩니다.

    CVE-2026-107623에서 OIDC DCR의 읽기, 수정, 쓰기 과정이 백채널 로그아웃 시 오프라인 토큰 폐기를 조용히 비활성화하던 문제를 수정했습니다.

  • securitymediumCIBA sub 매개변수 주입에 따른 피해자 토큰 발급 수정

    CIBA를 사용하는 경우에 적용됩니다.

    CVE-2026-97174에서 CIBA의 sub 매개변수 주입으로 공격자 인증이 피해자 토큰을 발급하게 만들 수 있던 문제를 수정했습니다.

  • securitymediumFGAP v2 복합 역할 매핑의 realm-admin 할당 수정

    FGAP v2를 활성화한 경우에 적용됩니다.

    CVE-2026-96448에서 FGAP v2의 복합 역할 매핑을 이용해 manage-users가 realm-admin을 포함한 래퍼를 할당할 수 있던 문제를 수정했습니다.

  • security로그인 실패 upsert의 영향받은 행 수 처리 수정

    MySQL 또는 MariaDB에 의존하는 경우에 적용됩니다.

    CVE-2026-112201에서 로그인 실패 upsert가 MySQL 및 MariaDB의 영향받은 행 수를 신뢰하던 문제를 수정했습니다.

  • securityDCR 클레임 대체를 통한 Account REST 세션 탈취 수정

    DCR을 사용하는 경우에 적용됩니다.

    CVE-2026-97367에서 사용자 속성 매퍼를 이용한 DCR의 azp 및 sid 클레임 대체로 Account REST 피해자 세션을 탈취할 수 있던 문제를 수정했습니다.

  • securityDCR 등록 시 realm_access.roles 위조 수정

    DCR을 사용하는 경우에 적용됩니다.

    CVE-2026-96547에서 DCR 등록 시 사용자 편집 가능 필드의 속성 매퍼로 realm_access.roles를 위조할 수 있던 문제를 수정했습니다.

  • security토큰 교환 토큰의 무제한 만료 수정

    token exchange를 사용하는 경우에 적용됩니다.

    CVE-2026-96460에서 토큰 교환으로 발급된 토큰의 만료 시간이 제한 없이 설정될 수 있던 문제를 수정했습니다.

  • security무상태 토큰의 preferred_username 대체값 처리 수정

    Stateless token을 사용하는 경우에 적용됩니다.

    CVE-2026-96447에서 무상태 토큰의 preferred_username 대체값으로 클라이언트 재생성 뒤 신원을 다시 연결할 수 있던 문제를 수정했습니다.

  • securitySAML Identity Broker의 ProxyRestriction 처리 수정

    SAML Identity Broker를 사용하는 경우에 적용됩니다.

    CVE-2026-92856에서 Keycloak SAML Identity Broker가 ProxyRestriction을 무시해 금지된 하위 어설션을 발급하던 문제를 수정했습니다.

  • securityAdmin API의 대상 확인 누락 수정

    Admin API를 외부에 공개하는 경우에 적용됩니다.

    CVE-2026-19688에서 Admin API에 대상 확인이 없어 요청 대상을 검증하지 않던 문제를 수정했습니다.

  • securitySAML SLO의 위조된 발급자 처리 수정

    SAML SLO를 사용하는 경우에 적용됩니다.

    SAML SLO에서 서명하지 않은 클라이언트가 위조된 발급자로 피해자 서비스 제공자를 가장할 수 있던 문제를 수정했습니다.

  • security조직 도메인 제한의 브로커 이메일 검증 수정

    organization domain gate를 설정한 경우에 적용됩니다.

    검증되지 않은 브로커 이메일이 조직 도메인 제한을 충족할 수 있던 문제를 수정했습니다.

그 외 기록된 변경 18건 전체fixes 17 · value changes 1

fixes (17)

  • Realm client-session stats disclose hidden clients under FGAP v2
  • JWE key-management algorithm not validated against provisioned key algorithm on request object decryption
  • Harden PathMatcher URI normalization for leading dot segments and authority-less schemes
  • Keycloak Maximum Concurrent Session Limit is incorrectly registered as a login failure, triggering Keycloak&#39;s Brute Force protection
  • FGAP V2: isInternal denylist missing admin-permissions client allows delegated admin to update it
  • Realm import: JSON representation migration fails with LazyInitializationException when a users file is present
  • Much open UDP Sockets after some Time
  • Theme resources intermittently 404 on a cold gzip cache
  • BCFIPS imports only the first certificate from a multi-certificate PEM trust bundle
  • IdentityBrokerService fires duplicate error events and reflects user input in responses
  • Concurreny issue in JAXPValidationUtil
  • Operator Helm chart renders null version labels because Chart.yaml lacks appVersioN
  • ISPN000427 timeout on distributed caches when entry lock is contended during topology change
  • Original exception is swallowed by NullPointerException when acquiring the database lock fails
  • NullPointerException in KeycloakLogFilter after failed startup as the Profile is no longer initialized
  • Periodic user storage sync runs at twice the configured period when a sync takes longer than ~1 second
  • Validate keycloak locale before setting to KEYCLOAK_LOCALE Cookie

value changes (1)

  • Upgrade to Quarkus 3.40.1.1
Keycloak 스택에 추가

조치가 필요한 릴리스가 나왔을 때 주간 메일로 알려드립니다. 이번 릴리스의 보안 패치 같은 것들입니다.

스택에 추가 →
공식 릴리스 노트 ↗Keycloak 릴리스 전체 →