Keycloak - CVE-2026-74909

Il s'agit d'une vulnérabilité dans le module d'application des politiques (policy enforcer) du composant Authorization Services de Keycloak.

Keycloak est une solution open source de gestion des identités et des accès. Elle assure l'authentification unique, la fédération d'identité et le contrôle d'accès pour des applications web et des services, au moyen des protocoles OpenID Connect, OAuth2 et SAML. Elle intègre un module de contrôle d'autorisation fin, nommé Authorization Services, qui définit des politiques de sécurité au niveau des ressources protégées par une application cliente. Red Hat en distribue une version commerciale supportée, sous les noms Red Hat build of Keycloak et, pour la génération précédente du produit, Red Hat Single Sign-On.

Ce composant compare chaque requête web entrante à des politiques de sécurité définies pour protéger des ressources d'application. Avant cette comparaison, l'adresse de la requête doit être normalisée, c'est-à-dire ramenée à une forme canonique unique. Un correctif antérieur avait ajouté une suppression des paramètres matriciels, des segments de chemin introduits par un point-virgule suivi d'un nom et d'une valeur, avant cette comparaison. Ce correctif reste incomplet. Il ne traite pas le cas où ce point-virgule séparateur est encodé en pourcentage plutôt qu'écrit littéralement dans l'URL. Un attaquant authentifié peut donc insérer un point-virgule encodé, ou un segment de traversée de répertoire encodé, dans le chemin de sa requête. Le module d'application des politiques ne reconnaît alors plus la forme canonique réelle de la ressource visée. Il applique en conséquence une politique de sécurité moins restrictive que celle réellement configurée pour cette ressource.

Elle permet à un utilisateur déjà authentifié d'accéder sans autorisation à des points de terminaison d'administration ou à des données d'application normalement protégés par le policy enforcer.