Keycloak: keycloak: एक पॉलिसी बाईपास प्रमाणित उपयोगकर्ताओं को पीड़ित के स्वामित्व वाले संसाधनों तक अनधिकृत पहुंच प्राप्त करने की अनुमति देता है।

Red Hat Build of Keycloak 26.2 (CVE-2026-4636) में एक गंभीर भेद्यता की पहचान की गई है, जिसका CVSS स्कोर 8.1 है। यह भेद्यता प्रमाणित उपयोगकर्ता को 'uma_protection' भूमिका होने पर उपयोगकर्ता प्रबंधित एक्सेस (UMA) नीति सत्यापन को बायपास करने की अनुमति देती है। हमलावर URL पथ द्वारा हमलावर के स्वामित्व वाली संसाधन निर्दिष्ट किए जाने पर भी नीति निर्माण अनुरोध में अन्य उपयोगकर्ताओं के स्वामित्व वाले संसाधन पहचानकर्ता शामिल कर सकते हैं। परिणामस्वरूप, हमलावर को पीड़ित के स्वामित्व वाले संसाधनों के लिए अनधिकृत विशेषाधिकार प्राप्त होते हैं, जिससे वे अनुरोध पार्टी टोकन (RPT) प्राप्त कर सकते हैं और संवेदनशील जानकारी तक पहुंच सकते हैं या अनधिकृत कार्रवाई कर सकते हैं। इस भेद्यता की गंभीरता इसकी डेटा सुरक्षा और सिस्टम अखंडता को खतरे में डालने की क्षमता में निहित है, खासकर उन वातावरणों में जहां UMA का उपयोग संवेदनशील संसाधनों तक पहुंच को नियंत्रित करने के लिए किया जाता है। सफल शोषण से गोपनीय जानकारी का प्रकटीकरण, डेटा छेड़छाड़ और विशेषाधिकार वृद्धि हो सकती है।

Organizations heavily reliant on Keycloak for authentication and authorization, particularly those utilizing User-Managed Access (UMA) policies, are at significant risk. Environments with a large number of users granted the uma_protection role, or those with complex UMA policy configurations, should prioritize remediation. Shared hosting environments using Keycloak are also at increased risk due to the potential for cross-tenant exploitation.

• java / server:

# Check Keycloak version
java -jar keycloak.jar --version

• java / server:

# Monitor Keycloak logs for suspicious UMA policy creation requests
grep -i 'resource identifier' /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for unusual UMA policy endpoints
curl -I https://your-keycloak-instance/realms/your-realm/uma/policies

1. 2026-04-02Disclosure

   disclosure

1. आरक्षित2026-03-23
2. प्रकाशित2026-04-02
3. संशोधित2026-04-04
4. EPSS अद्यतन2026-04-10

इस भेद्यता के लिए अनुशंसित शमन Red Hat Build of Keycloak 26.5.7 या उच्चतर में अपग्रेड करना है। इस संस्करण में UMA नीति सत्यापन भेद्यता को संबोधित करने वाला एक फिक्स शामिल है। शोषण के जोखिम को कम करने के लिए इस अपडेट को जल्द से जल्द लागू करने की सिफारिश की जाती है। इसके अतिरिक्त, मौजूदा UMA कॉन्फ़िगरेशन की समीक्षा करें ताकि यह सुनिश्चित हो सके कि नीतियां सही ढंग से परिभाषित हैं और उपयोगकर्ता भूमिकाएं सुरक्षित रूप से असाइन की गई हैं। Keycloak लॉग की निगरानी संदिग्ध गतिविधि के लिए भी संभावित शोषण प्रयासों का पता लगाने और प्रतिक्रिया देने में मदद कर सकती है। सेवा में व्यवधान से बचने के लिए अपडेट को परिवर्तन प्रबंधन के सर्वोत्तम अभ्यासों का पालन करते हुए निष्पादित किया जाना चाहिए। उत्पादन में अपडेट लागू करने से पहले एक स्टेजिंग वातावरण में पूरी तरह से परीक्षण करने की सिफारिश की जाती है।