高 8.1

Keycloakで他ユーザーのリソースにアクセスされる脆弱性

CVE-2026-114232 SecPulse初出 11月6日 1:05

概要

Keycloakの認可サーバーに、ユーザーが作成するポリシーの検証が不十分な脆弱性が見つかりました。攻撃者は他のユーザーが所有するリソースに適用されるポリシーを作成でき、レルム内の機密データに不正にアクセスされたり、改変されたりするおそれがあります。CVSSは8.1で、深刻度は高とされています。修正版の情報は確認できていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw was found in the UserManagedPermissionService of the Keycloak authorization server. The UMA Protection API, which manages user permissions, fails to validate the resourceType field when a user creates a new policy. This allows an attacker to create a policy that applies to resources owned by other users, potentially leading to unauthorized access or modification of sensitive data across the entire realm.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory