Keycloak: keycloak: अनुचित एकल-उपयोग प्रविष्टियों के प्रबंधन के कारण क्रिया टोकन का पुन: प्रसारण

Keycloak (Red Hat Build संस्करण 26.2) में एक सुरक्षा भेद्यता की पहचान की गई है, जिसका CVE ID CVE-2026-4325 है। यह दोष वैश्विक कुंजी-मूल्य स्टोर SingleUseObjectProvider घटक में मौजूद है। उचित प्रकार और नामस्थान अलगाव की कमी के कारण, एक हमलावर मनमाना एकल-उपयोग प्रविष्टियों को हटा सकता है। यह खपत किए गए कार्रवाई टोकन, जैसे पासवर्ड रीसेट लिंक को फिर से चलाने की अनुमति दे सकता है, जिससे अनधिकृत पहुंच या खाता समझौता हो सकता है। CVSS स्कोर 5.3 है, जो मध्यम जोखिम दर्शाता है। इस जोखिम को कम करने के लिए सिस्टम प्रशासकों को जल्द से जल्द Keycloak को पैच किए गए संस्करण में अपडेट करना महत्वपूर्ण है।

1. आरक्षित2026-03-17
2. प्रकाशित2026-04-02
3. संशोधित2026-04-07
4. EPSS अद्यतन2026-04-10

अनुशंसित समाधान Keycloak को उस संस्करण में अपडेट करना है जिसमें CVE-2026-4325 के लिए फिक्स शामिल है। Red Hat एक पैच पर काम कर रहा है और यह जल्द ही उपलब्ध होने की उम्मीद है। इस बीच, एक अस्थायी शमन उपाय के रूप में, SingleUseObjectProvider के लिए एक्सेस अनुमतियों की समीक्षा करें और उन्हें प्रतिबंधित करें। इसके अतिरिक्त, संदिग्ध गतिविधि, जैसे असामान्य प्रविष्टि विलोपन या टोकन को फिर से चलाने के प्रयासों के लिए Keycloak लॉग की निगरानी करें। उपयोगकर्ताओं को बहु-कारक प्रमाणीकरण (MFA) को लागू करने की सलाह दी जाती है ताकि सुरक्षा की एक अतिरिक्त परत जोड़ी जा सके, भले ही भेद्यता का फायदा उठाया जाए। अपने Keycloak वातावरण की सुरक्षा के लिए सॉफ़्टवेयर को अपडेट रखना और सुरक्षा सर्वोत्तम प्रथाओं का पालन करना आवश्यक है।