Keycloak: keycloak: singleuseobjectproviderの分離の欠陥による、偽造された認証コードを介した権限昇格

Keycloak (Red Hat build 26.2) に、CVE-2026-4282 として分類されるセキュリティ脆弱性が発見されました。CVSS スコアは 7.4 です。この脆弱性は、グローバルなキーバリューストアである SingleUseObjectProvider に存在し、適切な型と名前空間の分離が欠けています。これにより、認証されていない攻撃者が認証コードを偽造できる可能性があり、管理権限を持つアクセス トークンを作成する可能性があります。この脆弱性の悪用が成功すると、権限昇格につながり、Keycloak システムとそれに保護されているリソースのセキュリティが損なわれる可能性があります。このリスクを軽減するために、Keycloak をパッチ適用されたバージョンにできるだけ早く更新することが重要です。

Organizations heavily reliant on Keycloak for authentication and authorization are at significant risk. This includes those using Keycloak in cloud environments, shared hosting setups, or with legacy integrations where strict access controls may not be enforced. Any deployment using Keycloak versions 26.2.15 and later is potentially vulnerable.

• java / server:

# Monitor Keycloak logs for suspicious authorization code requests or errors related to the SingleUseObjectProvider.
journalctl -u keycloak -f | grep -i "SingleUseObjectProvider"

• generic web:

# Check for unusual traffic patterns to Keycloak endpoints related to authorization code generation.
curl -v https://<keycloak_url>/auth/realms/master/protocol/openid-connect/auth

1. 2026-04-02Disclosure

   disclosure

1. 予約済み2026-03-16
2. 公開日2026-04-02
3. 更新日2026-04-07
4. EPSS 更新日2026-04-10

CVE-2026-4282 の主な軽減策は、修正を含む Keycloak のバージョンに更新することです。Red Hat はバージョン 26.2 以降のパッチを開発中です。その間は、認証 API へのアクセスを制限したり、Keycloak ログを不審なアクティビティがないか積極的に監視したりするなど、追加のセキュリティ対策を実装することをお勧めします。堅牢なセキュリティポリシー (多要素認証 (MFA) など) を実装することで、悪用が成功した場合の潜在的な影響を軽減できます。具体的な更新情報とセキュリティに関する推奨事項については、Red Hat Keycloak リリースノートを参照してください。