Keycloak: keycloak: Informationsfreigabe aufgrund von Umgehung der Validierung von redirect_uri

Eine Schwachstelle (CVE-2026-3872) wurde in der Red Hat Keycloak Build 26.2 identifiziert. Dieses Problem ermöglicht es einem Angreifer, der einen anderen Pfad auf demselben Webserver kontrolliert, den zulässigen Pfad in Redirect Uniform Resource Identifiers (URIs) zu umgehen, die ein Wildcard-Zeichen verwenden. Ein erfolgreicher Angriff kann zum Diebstahl eines Zugriffstokens führen, was zu einer Offenlegung von Informationen führen kann. Die Schwere der Schwachstelle wurde gemäß CVSS mit 7,3 bewertet. Es ist entscheidend, Keycloak auf eine gepatchte Version zu aktualisieren, um dieses Risiko zu mindern. Die Schwachstelle zielt speziell darauf ab, wie Keycloak Redirects mit Wildcards verarbeitet, wodurch ein Angreifer den Zielpfad manipulieren und auf unbefugte Ressourcen zugreifen kann.

Organizations using Keycloak for authentication and authorization, particularly those with complex redirect URI configurations or shared hosting environments, are at risk. Environments where multiple applications share the same web server hosting Keycloak are especially vulnerable, as an attacker could exploit a vulnerability in one application to compromise Keycloak's redirect URI validation.

• java / server:

# Check Keycloak logs for unusual redirect URI patterns
grep -i 'redirect_uri' /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for exposed Keycloak endpoints with potentially vulnerable redirect URIs
curl -I https://your-keycloak-instance/realms/your-realm/protocol/openid-connect/auth?client_id=your-client-id&response_type=code&redirect_uri=http://attacker.com/evil

1. 2026-04-02Disclosure

   disclosure

1. Reserviert2026-03-10
2. Veröffentlicht2026-04-02
3. Geändert2026-04-07
4. EPSS aktualisiert2026-04-10

Die primäre Abmilderung für CVE-2026-3872 ist die Aktualisierung auf eine Version von Keycloak, die die Korrektur enthält. Red Hat arbeitet an einem Patch für diese Schwachstelle. In der Zwischenzeit wird empfohlen, den Zugriff auf den Webserver einzuschränken und die Redirect-Konfigurationen sorgfältig zu überprüfen. Die Beschränkung der zulässigen Pfade für Redirects ist eine wichtige vorbeugende Maßnahme. Darüber hinaus kann die Implementierung robuster Zugriffskontrollen und die Überwachung der Webserveraktivität dazu beitragen, potenzielle Angriffe zu erkennen und darauf zu reagieren. Bitte konsultieren Sie die Red Hat Keycloak Release Notes für spezifische Update-Informationen und Implementierungsanweisungen.