Keycloak: keycloak: uma policy bypass allows authenticated users to gain unauthorized access to victim-owned resources.

Eine kritische Schwachstelle wurde in der Red Hat Build von Keycloak 26.2 (CVE-2026-4636) mit einem CVSS-Score von 8.1 identifiziert. Diese Schwachstelle ermöglicht einem authentifizierten Benutzer mit der Rolle 'uma_protection', die Validierung von Richtlinien für den benutzerverwalteten Zugriff (UMA) zu umgehen. Der Angreifer kann Ressourcen-IDs, die anderen Benutzern gehören, in einer Anfrage zur Richtlinienerstellung einfügen, selbst wenn der URL-Pfad eine Ressource angibt, die dem Angreifer gehört. Dies führt dazu, dass unbefugte Berechtigungen für Ressourcen gewährt werden, die der Opfer gehören, wodurch der Angreifer ein Requesting Party Token (RPT) erhalten und auf sensible Informationen zugreifen oder unbefugte Aktionen ausführen kann. Die Schwere dieser Schwachstelle liegt in ihrem Potenzial, die Datensicherheit und die Integrität des Systems zu gefährden, insbesondere in Umgebungen, in denen UMA zur Steuerung des Zugriffs auf sensible Ressourcen verwendet wird. Eine erfolgreiche Ausnutzung kann zur Offenlegung vertraulicher Informationen, zur Manipulation von Daten und zur Eskalation von Privilegien führen.

Organizations heavily reliant on Keycloak for authentication and authorization, particularly those utilizing User-Managed Access (UMA) policies, are at significant risk. Environments with a large number of users granted the uma_protection role, or those with complex UMA policy configurations, should prioritize remediation. Shared hosting environments using Keycloak are also at increased risk due to the potential for cross-tenant exploitation.

• java / server:

# Check Keycloak version
java -jar keycloak.jar --version

• java / server:

# Monitor Keycloak logs for suspicious UMA policy creation requests
grep -i 'resource identifier' /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for unusual UMA policy endpoints
curl -I https://your-keycloak-instance/realms/your-realm/uma/policies

1. 2026-04-02Disclosure

   disclosure

1. Reserviert2026-03-23
2. Veröffentlicht2026-04-02
3. Geändert2026-04-04
4. EPSS aktualisiert2026-04-10

Die empfohlene Abhilfemaßnahme für diese Schwachstelle ist die Aktualisierung auf die Red Hat Build von Keycloak 26.5.7 oder höher. Diese Version enthält eine Korrektur, die die Schwachstelle bei der Validierung von UMA-Richtlinien behebt. Es wird empfohlen, dieses Update so schnell wie möglich anzuwenden, um das Risiko einer Ausnutzung zu minimieren. Überprüfen Sie außerdem die vorhandenen UMA-Konfigurationen, um sicherzustellen, dass Richtlinien korrekt definiert sind und Benutzerrollen sicher zugewiesen werden. Die Überwachung der Keycloak-Protokolle auf verdächtige Aktivitäten kann ebenfalls dazu beitragen, Ausnutzungsversuche zu erkennen und darauf zu reagieren. Das Update sollte gemäß den Best Practices für das Änderungsmanagement durchgeführt werden, um Dienstunterbrechungen zu vermeiden. Vor der Anwendung des Updates in der Produktion werden umfassende Tests in einer Staging-Umgebung empfohlen.