Keycloak Admin CLIのkcadmで自己署名証明書を受け入れてしまう脆弱性
Summary
Keycloak Admin CLIのkcadmで、カスタムのtruststoreを指定したときに、ホスト名が一致すれば任意の自己署名証明書を受け入れてしまう脆弱性が見つかりました。ネットワーク上の攻撃者がKeycloakサーバーになりすまし、管理者の認証情報を盗んで不正な管理操作を行うおそれがあり、CVSSは8です。修正版の有無は公表されていないため、最新の情報を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Keycloak Admin CLIのkcadmで、カスタムのtruststoreを指定したときに、ホスト名が一致すれば任意の自己署名証明書を受け入れてしまう脆弱性が見つかりました。ネットワーク上の攻撃者がKeycloakサーバーになりすまし、管理者の認証情報を盗んで不正な管理操作を行うおそれがあり、CVSSは8です。修正版の有無は公表されていないため、最新の情報を確認してください。
Original description The description as published by the source.
A flaw was found in the Keycloak Admin CLI kcadm tool, which is used by administrators to manage Keycloak servers from the command line. When a custom truststore is provided to verify the server identity, the tool incorrectly accepts any self-signed certificate as long as the hostname matches. This allows a network attacker to impersonate the Keycloak server, steal administrative credentials, and perform unauthorized management actions.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web secalert@redhat.com
- web secalert@redhat.com
- web nvd.nist.gov
- web github.com
- web secalert@redhat.com
- web secalert@redhat.com
- web secalert@redhat.com
- web secalert@redhat.com