प्लेटफ़ॉर्म
java
घटक
keycloak
में ठीक किया गया
1.10.0
2.5.4
Keycloak में एक जानकारी का खुलासा भेद्यता पाई गई है। एक दूरस्थ हमलावर Keycloak के User-Managed Access (UMA) टोकन एंडपॉइंट में एक क्रॉस-ओरिजिन रिसोर्स शेयरिंग (CORS) हेडर इंजेक्शन भेद्यता का फायदा उठा सकता है। यह त्रुटि इसलिए होती है क्योंकि JWT से azp दावा Access-Control-Allow-Origin हेडर सेट करने के लिए उपयोग किया जाता है, JWT हस्ताक्षर सत्यापन से पहले। 2.5.4 संस्करण में इस समस्या का समाधान किया गया है।
Keycloak के UMA (User-Managed Access) टोकन एंडपॉइंट में एक क्रॉस-ओरिजिन रिसोर्स शेयरिंग (CORS) हेडर इंजेक्शन भेद्यता की पहचान की गई है, खासकर Red Hat Build संस्करण में। एक दूरस्थ हमलावर दुर्भावनापूर्ण JSON Web Token (JWT) बनाकर इस भेद्यता का फायदा उठा सकता है। समस्या यह है कि क्लाइंट द्वारा प्रदान किए गए JWT में azp दावा JWT हस्ताक्षर सत्यापन से पहले Access-Control-Allow-Origin हेडर सेट करने के लिए उपयोग किया जाता है। नतीजतन, एक हमलावर एक JWT प्रदान कर सकता है जिसमें एक हमलावर द्वारा नियंत्रित azp मान है, जिसे हस्ताक्षर सत्यापन बाद में विफल होने पर भी CORS मूल के रूप में दर्शाया जाएगा। यह हमलावर को CORS प्रतिबंधों को बायपास करने और संरक्षित संसाधनों तक पहुंचने की अनुमति दे सकता है, जिससे डेटा उल्लंघन या अनधिकृत कार्रवाई हो सकती है।
एक हमलावर विशेष रूप से तैयार किए गए JWT को Keycloak UMA टोकन एंडपॉइंट पर भेजकर इस भेद्यता का फायदा उठा सकता है। JWT में एक हमलावर द्वारा नियंत्रित दुर्भावनापूर्ण azp दावा होगा। इस भेद्यता के कारण, इस azp मान को सीधे Access-Control-Allow-Origin हेडर में दर्शाया जाएगा। यह हमलावर को azp दावे में निर्दिष्ट मूल से संरक्षित संसाधनों के लिए अनुरोध भेजने की अनुमति देता है, संभावित रूप से इच्छित सुरक्षा नियंत्रणों को बायपास करता है। CORS हेडर में उपयोग से पहले azp दावे का पूर्व सत्यापन न करना इस भेद्यता का मूल कारण है।
Organizations utilizing Keycloak for authentication and authorization, particularly those relying on User-Managed Access (UMA) and JWT-based authentication, are at risk. Deployments with relaxed CORS policies or those using older, vulnerable versions of Keycloak are especially susceptible.
• java / server:
# Check Keycloak version
java -jar keycloak.jar --version• java / server:
# Examine Keycloak logs for unusual CORS header settings or JWT validation errors.
grep -i 'cors origin' /path/to/keycloak/logs/keycloak.log• generic web:
# Attempt to trigger the vulnerability by sending a crafted JWT with a malicious azp claim.
curl -H "Authorization: Bearer <crafted_jwt>" <keycloak_uma_endpoint>disclosure
एक्सप्लॉइट स्थिति
EPSS
0.01% (1% शतमक)
CISA SSVC
CVSS वेक्टर
इस भेद्यता के लिए प्राथमिक शमन Keycloak Red Hat Build को संस्करण 2.5.4 या उच्चतर में अपग्रेड करना है। इस संस्करण में एक फिक्स शामिल है जो Access-Control-Allow-Origin हेडर को कॉन्फ़िगर करने के लिए इसका उपयोग करने से पहले azp दावे को मान्य करता है, जिससे CORS इंजेक्शन को रोका जा सकता है। इसके अतिरिक्त, संरक्षित संसाधनों तक पहुंच को केवल विश्वसनीय मूल तक सीमित करने के लिए Keycloak की CORS नीतियों की समीक्षा और मजबूत करना अनुशंसित है। संभावित हमलों का पता लगाने और रोकने के लिए Keycloak लॉग में JWT हेरफेर से संबंधित संदिग्ध पैटर्न की नियमित रूप से निगरानी करना महत्वपूर्ण है। शोषण के जोखिम को कम करने के लिए त्वरित पैचिंग महत्वपूर्ण है।
Actualice Keycloak a la versión 2.5.4 o superior para mitigar la vulnerabilidad. La actualización corrige la validación del claim `azp` en el token JWT, previniendo la inyección de encabezados CORS. Asegúrese de revisar la documentación de Red Hat para obtener instrucciones específicas de actualización para su entorno.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CORS (क्रॉस-ओरिजिन रिसोर्स शेयरिंग) एक तंत्र है जो नियंत्रित करता है कि एक मूल से वेब पेज दूसरे मूल से संसाधनों तक कैसे पहुंच सकते हैं।
यह हमलावर को CORS प्रतिबंधों को बायपास करने और संभावित रूप से संवेदनशील डेटा तक पहुंचने या अनधिकृत कार्रवाई करने की अनुमति देता है।
अतिरिक्त सुरक्षा उपाय लागू करें, जैसे CORS नीतियों को मजबूत करना और Keycloak लॉग की निगरानी करना।
हां, भेद्यता स्कैनर इस मुद्दे का पता लगा सकते हैं, लेकिन सही संस्करण में पैच करना सबसे अच्छा समाधान है।
यदि आप Keycloak Red Hat Build के 2.5.4 से पहले के संस्करण का उपयोग कर रहे हैं, तो आप संभवतः प्रभावित हैं।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी pom.xml फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।