Allvarlig sårbarhet i Keycloak
En allvarlig sårbarhet har upptäckts i Keycloak XMLSignatureUtil, som används för att validera signaturer i programvaran. [1]
Sårbarheten (CVE-2024-8698) återfinns i valideringsmetoden för SAML-signaturer (security assertion markup language). Metoden gör en felaktig bedömning om en SAML-signatur gäller ett helt XML-dokument eller endast för specifika delar av det. Denna brist gör det möjligt för en angripare att skapa särskilt utformade svar som kan kringgå valideringsprocessen, vilket kan leda till privilegieeskalering och risk för obehörig åtkomst till sårbara it-system.
Sårbarheten har fått CVSS-klassning 7,7 på den tiogradiga skalan.
En uppdatering som rättar sårbarheten finns tillgänglig.
Påverkade produkter
Keycloak (alla versioner till och med 25.0.5)
som i sin tur påverkar bland annat följande versioner av OpenShift:
Red Hat OpenShift Container Platform (version 4.11 och 4.12)
Red Hat OpenShift Container Platform för IBM (version 4.9 och 4.10)
Red Hat OpenShift Container Platform för LinuxONE (version 4.9 och 4.10)
Red Hat OpenShift Container Platform för Power (version 4.9 och 4.10)
Red Hat Single Sign-On (version 7.6)
Rekommendationer
CERT-SE rekommenderar att installera säkerhetsuppdateringen så snart som möjligt och följa leverantörens instruktioner i övrigt.