高 8.1

Keycloakの脆弱性、トークンのsubやaudを偽装されるおそれ

CVE-2026-92857 SecPulse初出 11月6日 2:15

概要

Keycloakのクライアント動的登録機能に検証の不備があり、登録権限を持つ攻撃者が、署名付きトークンのユーザーIDや想定先を偽装できるおそれがあります。他人になりすまされたり、トークンに頼る各種サービスへ不正にアクセスされたりするおそれがあり、CVSSは8.1で重要度は高とされています。影響を受ける版と修正版は公表時点で確認できていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

Keycloak provides a Dynamic Client Registration feature that allows users with specific tokens to register their own applications. A flaw in how Keycloak validates these registration requests allows an attacker to create a malicious application that forges identity information. By mapping their own user profile details to protected fields like the user ID (sub) or intended audience (aud), an attacker can generate signed security tokens that make them appear to be a different user. This could allow an attacker to impersonate other users or gain unauthorized access to services that rely on these tokens for identity verification.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory