高 7.4

KeycloakのSAML連携で、正当な鍵の所持を確かめず認証を回避される脆弱性

CVE-2026-92855 SecPulse初出 11月6日 2:15

概要

Keycloakは、SAMLの仕組みで外部の認証基盤に認証を任せる機能を持ちます。この機能では、holder-of-keyのアサーションを受け取ったとき、利用者が対応する秘密鍵を持っているかを確認しておらず、傍受したアサーションを再利用されて本人になりすまされるおそれがあります。CVSSは7.4です。影響を受ける版や修正版はまだ公表されていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw was found in the SAML identity broker component of Keycloak, which is used to delegate authentication to external identity providers. The issue occurs because the broker fails to verify that a user actually possesses the private key associated with a holder-of-key assertion. An attacker who intercepts a victim signed assertion can replay it to gain unauthorized access and impersonate the victim without needing their private key.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory