Summary
Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Keycloak und Red Hat Single Sign On ausnutzen, um Sicherheitsvorkehrungen zu umgehen.
Product
Keycloak ermöglicht Single Sign-On mit Identity and Access Management für moderne Anwendungen und Dienste.
Red Hat Single Sign-On ist ein eigenständiger Server, basierend auf dem Keycloak Projekt.
Vulnerabilities 2
-
Medium 5.5
Keycloak: oauth client impersonation
A flaw was found in Keycloak. A Keycloak server configured to support mTLS authentication for OAuth/OpenID clients does not properly verify the client certificate chain. A client that possesses a proper certificate can authorize itself as any other client, th…
-
Low 3.5
Keycloak: client access via device auth request spoof
Keycloak's device authorization grant does not correctly validate the device code and client ID. An attacker client could abuse the missing validation to spoof a client consent request and trick an authorization admin into granting consent to a malicious OAut…
Revision history
-
#2
Neue Updates von Red Hat aufgenommen
-
#1
Initiale Fassung
References
-
Red Hat Security Advisory RHSA-2023:3883 vom 2023-06-27
https://access.redhat.com/errata/RHSA-2023:3883
-
Red Hat Security Advisory RHSA-2023:3892 vom 2023-06-27
https://access.redhat.com/errata/RHSA-2023:3892
-
Red Hat Security Advisory RHSA-2023:3888 vom 2023-06-27
https://access.redhat.com/errata/RHSA-2023:3888
-
Red Hat Bugzilla – Bug 2196335 vom 2023-06-26
https://bugzilla.redhat.com/show_bug.cgi?id=2196335
-
Red Hat Bugzilla – Bug 2191668 vom 2023-06-26
https://bugzilla.redhat.com/show_bug.cgi?id=2191668