高 8.0

Keycloak Admin CLIのkcadmで自己署名証明書を受け入れてしまう脆弱性

CVE-2026-96453 SecPulse初出 11月6日 2:15

概要

Keycloak Admin CLIのkcadmで、カスタムのtruststoreを指定したときに、ホスト名が一致すれば任意の自己署名証明書を受け入れてしまう脆弱性が見つかりました。ネットワーク上の攻撃者がKeycloakサーバーになりすまし、管理者の認証情報を盗んで不正な管理操作を行うおそれがあり、CVSSは8です。修正版の有無は公表されていないため、最新の情報を確認してください。

AI要約

SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

A flaw was found in the Keycloak Admin CLI kcadm tool, which is used by administrators to manage Keycloak servers from the command line. When a custom truststore is provided to verify the server identity, the tool incorrectly accepts any self-signed certificate as long as the hostname matches. This allows a network attacker to impersonate the Keycloak server, steal administrative credentials, and perform unauthorized management actions.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory