高 7.5

Keycloakの脆弱性、認証なしで送られたSAMLリクエストによりサービス停止のおそれ

CVE-2026-107123 SecPulse初出 11月6日 1:04

概要

Keycloakは、SAMLのXML処理で長すぎるdateTimeや期間の値を十分に検証せず、CPUを使い尽くされる脆弱性です。認証のない攻撃者が細工したSAMLリクエストを送ると、サーバーのCPU使用率が高まり、すべての利用者がサービスを使えなくなるおそれがあります。CVSSは7.5で、今回の情報では修正版は示されていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw was found in the SAML XML processing component of Keycloak, an open-source identity and access management solution. The issue occurs when the server parses XML documents containing excessively long dateTime or duration values. Because these strings are not properly validated before processing, the XML parser consumes excessive CPU time. An unauthenticated remote attacker can exploit this by sending specially crafted SAML requests to the server, leading to high CPU utilization and a denial of service for all users.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory