Forge de requête côté serveur (SSRF) dans Keycloak via la manipulation du point de terminaison du jeton OIDC

L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de lancer des requêtes HTTP arbitraires depuis le serveur Keycloak. Cela peut être utilisé pour sonder des ressources internes qui ne sont pas accessibles depuis l'extérieur, telles que des bases de données, des serveurs d'applications ou des API internes. L'attaquant peut ainsi obtenir des informations sensibles, compromettre la confidentialité des données ou même accéder à des fonctionnalités non autorisées. Le risque est amplifié si Keycloak est configuré pour utiliser le backchannel.logout.url avec le placeholder application.session.host, car cela facilite l'exploitation de la faille. Bien que la CVSS soit classée comme LOW, l'impact potentiel sur la confidentialité des données internes est significatif.

Organizations utilizing Keycloak for authentication and authorization, particularly those with complex internal network architectures or sensitive internal APIs, are at risk. Environments where the backchannel.logout.url is configured with the application.session.host placeholder are especially vulnerable.

• java / server:

# Check for suspicious outbound network connections from the Keycloak process
netstat -an | grep keycloak

• java / server:

# Monitor Keycloak logs for unusual HTTP requests or errors related to refresh token processing
grep -i "client_session_host" /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for the presence of the 'application.session.host' placeholder in the backchannel.logout.url configuration
# (Requires access to Keycloak configuration files or API)

1. 2026-03-26Disclosure

   disclosure

1. Réservé2026-03-26
2. Publiée2026-03-26
3. Modifiée2026-04-13
4. EPSS mis à jour2026-04-02

La mitigation principale consiste à mettre à jour Keycloak Services vers une version corrigée. Si la mise à jour n'est pas immédiatement possible, une solution de contournement consiste à désactiver l'utilisation du placeholder application.session.host dans la configuration de backchannel.logout.url. Il est également recommandé de mettre en place des règles de pare-feu ou de proxy inverse pour limiter les requêtes sortantes du serveur Keycloak à des destinations autorisées. Surveillez attentivement les journaux d'accès et d'erreur de Keycloak pour détecter toute activité suspecte, notamment des requêtes HTTP vers des destinations inattendues. Après la mise à jour, vérifiez la configuration de backchannel.logout.url pour vous assurer qu'elle n'utilise plus le placeholder vulnérable.