# Keycloak 26.8.1

> Security · 2026-10-13

セキュリティに関する多数の問題を修正したメンテナンスリリースです。認証、管理、アイデンティティブローカー、認可、クラスタリングに関わる修正に加え、依存関係も更新されています。

## 要対応
- **[security · high]** `com.fasterxml.jackson.core:jackson-databind`を更新
  - `com.fasterxml.jackson.core:jackson-databind`を更新しました。
- **[security · medium]** 管理者資格情報の削除による権限回避を修正
  - 管理者資格情報の削除操作が、拒否されたパスワードリセット権限を回避していた問題を修正しました。
- **[security · medium]** レルム間リソースの読み書きを修正
  - `RealmCacheSession`のリクエスト単位のセッションキャッシュを介して、別レルムのリソースを読み書きできる問題を修正しました。
- **[security · medium]** ユーザー更新によるパスワードリセット権限回避を修正
  - 一般ユーザー更新処理が、拒否されたパスワードリセット権限を回避していた問題を修正しました。
- **[security]** `tools.jackson.core:jackson-databind`を更新
  - 複数の問題に対応するため、`tools.jackson.core:jackson-databind`を更新しました。
- **[security]** `simple-git`を更新
  - 複数の問題に対応するため、`simple-git`を更新しました。
- **[security]** 空パスワードによるユーザー名推測を修正
  - 空のパスワードを使った応答時間からユーザー名を推測できる問題を修正しました。

## 影響確認
- **[security · medium]** `OIDC identity provider`のシークレット再利用を修正
  - `OIDC identity provider`を利用し、`token URL`を設定している場合に該当します。
  - `token URL`の変更後もマスク済みクライアントシークレットを再利用していた問題を修正しました。
- **[security · medium]** アイデンティティプロバイダー経由の誤アカウントリンクを修正
  - `null`または`GitHub identity provider`を利用している場合に該当します。
  - `null`または`GitHub identity provider`を介した、誤ったアカウントへのリンクが継続する問題を修正しました。
- **[security · medium]** グループ参加による`realm-admin`権限取得を修正
  - 適用対象はリリースノートに明記されていません。
  - `manage-users` בלבדを持つ委任管理者が、管理者ロールを割り当てたグループへの参加または作成によって`realm-admin`になれる問題を修正しました。
- **[security · medium]** 認可サービスのユーザー閲覧権限確認を修正
  - `Authorization Services policy evaluation endpoint`を利用している場合に該当します。
  - `Authorization Services policy evaluation endpoint`でユーザーの閲覧権限確認が欠落していた問題を修正しました。
- **[security · medium]** `PAR`の単回利用回避を修正
  - `PAR`を利用している場合に該当します。
  - `prompt=none`によって`PAR`の単回利用を回避できる問題を修正しました。
- **[security · medium]** 信頼されていないプロキシ経路でのOTP判定を修正
  - 適用対象はリリースノートに明記されていません。
  - 信頼されていないプロキシ経路で、条件付きOTPがスキップヘッダーを信頼していた問題を修正しました。
- **[security · medium]** Kerberosパスワード認証時のKDCなりすまし対策
  - `Kerberos password authentication`を設定している場合に該当します。
  - `Kerberos password authentication`の有効時に、KDCなりすまし攻撃の可能性がある問題を修正しました。
- **[security · medium]** `Admin REST API`のグループ開示を修正
  - `Admin REST API`を利用している場合に該当します。
  - `Admin REST API`の`roles/{role-name}/groups`が、呼び出し元に閲覧権限のないグループを開示していた問題を修正しました。
- **[security · medium]** 標準トークン交換の`mTLS certificate binding`回避を修正
  - `Standard Token Exchange`を利用し、`mTLS certificate binding`を設定している場合に該当します。
  - `Standard Token Exchange`が、クライアント証明書未提供時に必要な`mTLS certificate binding`を回避してベアラートークンを発行していた問題を修正しました。
- **[security · medium]** `X.509 CRL Distribution Point`のパス逸脱を修正
  - `X.509 CRL Distribution Point`を利用している場合に該当します。
  - `X.509 CRL Distribution Point`で指定したCRLパスが`$KC_HOME/conf`の外部へ移動できる問題を修正しました。
- **[security · medium]** SMTP StartTLSの平文ダウングレードを修正
  - `SMTP starttls`を設定している場合に該当します。
  - `SMTP starttls=true`の設定で、認証情報とメッセージが平文へダウングレードされる問題を修正しました。
- **[security · medium]** `FGAP v2`のカスタムロール注入による権限回避を修正
  - `FGAP v2`と`oidc-hardcoded-role-mapper`を利用している場合に該当します。
  - `oidc-hardcoded-role-mapper`を使った`FGAP v2`のカスタムロール注入が`removeTransientAdminRoles`を回避していた問題を修正しました。
- **[security · low]** OIDCブローカーの未署名ログアウトトークン受け入れを修正
  - `signature validation`を設定していない場合に該当します。
  - 署名検証を無効にした場合に、署名のない偽造ログアウトトークンを受け入れていた問題を修正しました。
- **[security · low]** 2要素認証設定の強制回避を修正
  - `/realms/{realm}/login-actions/restart`を利用している場合に該当します。
  - `/realms/{realm}/login-actions/restart`を利用した2要素認証設定の強制回避を修正しました。
- **[security · low]** `UMA`スコープのリソース所有者間混入を修正
  - `UMA`を利用している場合に該当します。
  - `resolveResourcePermission`の名前衝突によって、リソース所有者間で`UMA`スコープが統合される問題を修正しました。
- **[security · low]** ブローカーログインのメトリクス系列増加を修正
  - `broker login endpoint`を利用している場合に該当します。
  - `broker login endpoint`の`idp`タグによってメトリクス系列が無制限に作成される問題を修正しました。
- **[security]** Kerberosの完全なSPNEGO資格情報記録を修正
  - `Kerberos`を利用し、`TRACE logging`を設定している場合に該当します。
  - `Kerberos TRACE logging`が完全なSPNEGO資格情報を記録していた問題を修正しました。
- **[security]** 動的クライアント登録によるSSFイベントアクセス有効化を修正
  - `Dynamic client registration`を利用している場合に該当します。
  - `Dynamic client registration`が特権付きSSFイベントアクセスを自動的に有効化していた問題を修正しました。
- **[security]** `SAML SLO`の未認証セッション終了を修正
  - `SAML SLO`を利用している場合に該当します。
  - `SAML SLO`の`LogoutRequest (SessionIndex)`を使って、認証なしで任意のセッションを終了できる問題を修正しました。
- **[security]** SAMLブローカーの署名検証対象の不一致を修正
  - `SAML broker HTTP-Redirect binding`を利用している場合に該当します。
  - `SAML broker HTTP-Redirect binding`で、クエリ文字列の署名対象と処理対象の`SAMLResponse`が異なる問題を修正しました。
- **[security]** `FGAP v2`でのLDAPユーザー検索結果を修正
  - `FGAP v2`と`LDAP`を利用している場合に該当します。
  - `FGAP v2`で、インポートされていないLDAPユーザーが、検索権限を委任された管理者の検索結果に含まれていた問題を修正しました。

## その他の記録された変更
- 19 (defect_corrected 19)

[分析の詳細](https://ratatosk.io/ja/releases/keycloak/26.8.1)

[元のリリースノート](https://github.com/keycloak/keycloak/releases/tag/26.8.1)