Keycloak - CVE-2026-120984
Date de publication :
Il s’agit d’une vulnérabilité dans le composant de gestion des clients du serveur Keycloak (keycloak-services).
Keycloak est une solution open source de gestion des identités et des accès. Elle fournit l’authentification unique (SSO), la fédération d’identités et la gestion des autorisations via OAuth 2.0, OpenID Connect et SAML. Red Hat la distribue sous les noms Red Hat build of Keycloak et Red Hat Single Sign-On 7.
Seuls les clients créés ou importés avec les services d’autorisation activés sont concernés. Lorsqu’un payload authorizationSettings est fourni dans la requête, Keycloak positionne un attribut de session interne pour autoriser la création d’une politique par défaut. Cet attribut n’est jamais effacé ensuite. Les politiques basées sur des scripts sont pourtant désactivées par défaut. Un attaquant authentifié disposant de la permission déléguée manage-clients peut abuser de cet état. L’attaquant importe alors une politique JavaScript inline et contourne le contrôle qui bloque l’envoi de scripts. Le script s’exécute dans la JVM du serveur lors d’une requête d’autorisation UMA. L’exécution a lieu hors des limites du realm délégué.
Elle permet l’exécution de code arbitraire sur le serveur, la lecture de données sensibles de l’hôte, la modification de la configuration d’autres realms ou l’arrêt complet du système.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Exécution de code arbitraire (à distance)
Exploitation
CWE-94 : Improper Control of Generation of Code
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur à privilège
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Oui
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
Red Hat build of Keycloak (keycloak-services et rhbk/keycloak-rhel9) : versions non précisées par l’éditeur
- Red Hat Single Sign-On 7 (keycloak-services) : versions non précisées par l’éditeur