Falsificación de Solicitudes del Lado del Servidor (SSRF) en Keycloak a través de la manipulación del punto final de token OIDC

La vulnerabilidad SSRF permite a un atacante autenticado realizar solicitudes HTTP desde el contexto de red del servidor Keycloak. Esto significa que el atacante puede potencialmente sondear redes internas o APIs internas a las que el servidor Keycloak tiene acceso. El impacto principal es la divulgación de información sensible que podría estar expuesta en esas redes internas. Un atacante podría, por ejemplo, descubrir la presencia de servicios internos, obtener información sobre su configuración o incluso acceder a datos confidenciales. Aunque la severidad es clasificada como baja, la posibilidad de acceder a recursos internos representa un riesgo significativo, especialmente en entornos donde Keycloak se utiliza como un componente central de la autenticación y autorización.

Organizations utilizing Keycloak for authentication and authorization, particularly those with complex internal network architectures or sensitive internal APIs, are at risk. Environments where the backchannel.logout.url is configured with the application.session.host placeholder are especially vulnerable.

• java / server:

# Check for suspicious outbound network connections from the Keycloak process
netstat -an | grep keycloak

• java / server:

# Monitor Keycloak logs for unusual HTTP requests or errors related to refresh token processing
grep -i "client_session_host" /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for the presence of the 'application.session.host' placeholder in the backchannel.logout.url configuration
# (Requires access to Keycloak configuration files or API)

1. 2026-03-26Disclosure

   disclosure

1. Reservado2026-03-26
2. Publicada2026-03-26
3. Modificada2026-04-13
4. EPSS actualizado2026-04-02

La mitigación principal es actualizar Keycloak Services a una versión que contenga la corrección. Si la actualización inmediata no es posible, se recomienda revisar la configuración de los clientes Keycloak y asegurarse de que la opción backchannel.logout.url no utilice el placeholder application.session.host. En su lugar, se debe especificar una URL explícita y segura. Además, se pueden implementar reglas en un Web Application Firewall (WAF) o proxy para bloquear solicitudes sospechosas que contengan el parámetro clientsessionhost con valores inesperados. Monitorear los registros de Keycloak en busca de solicitudes inusuales o intentos de SSRF también puede ayudar a detectar y prevenir ataques.