プラットフォーム
java
コンポーネント
keycloak
修正版
26.2.15
26.2.15
26.4.14
CVE-2026-4325 is a security vulnerability discovered in Keycloak related to the SingleUseObjectProvider, a global key-value store. Due to a lack of proper type and namespace isolation, an attacker can delete arbitrary single-use entries, potentially leading to the replay of consumed action tokens like password reset links and subsequent unauthorized access or account compromise. This vulnerability impacts Keycloak versions 26.2.15 and above, and a fix is expected in a future release.
Keycloak (Red Hat Build バージョン 26.2) において、CVE-2026-4325 という ID を持つセキュリティ脆弱性が特定されました。この脆弱性は、グローバルなキーバリューストアである SingleUseObjectProvider コンポーネントに存在します。適切な型と名前空間の分離がないため、攻撃者は任意のシングルユースエントリを削除できる可能性があります。これにより、パスワードリセットリンクなどの消費済みのアクショントークンを再利用できるようになり、不正アクセスやアカウントの侵害につながる可能性があります。CVSS スコアは 5.3 で、中程度のリスクを示しています。システム管理者は、このリスクを軽減するために、できるだけ早く Keycloak をパッチ適用されたバージョンに更新することが重要です。
Keycloak へのアクセス権を持つ攻撃者 (システム内の別の脆弱性または侵害された資格情報経由) は、この脆弱性を悪用できる可能性があります。攻撃者は SingleUseObjectProvider を操作して、既に使用されたパスワードリセットトークンを削除できます。次に、これらのトークンを再利用してユーザーアカウントのパスワードをリセットし、不正アクセスを取得できます。悪用には、基盤となるオペレーティングシステムで昇格された特権は必要ありませんが、Keycloak 環境へのアクセスが必要です。悪用の複雑さは、Keycloak の構成と既存のセキュリティ対策によって異なります。型と名前空間の分離の欠如により、シングルユースオブジェクトストアの操作が容易になります。
エクスプロイト状況
EPSS
0.04% (11% パーセンタイル)
CISA SSVC
推奨される解決策は、CVE-2026-4325 の修正を含む Keycloak のバージョンに更新することです。Red Hat はパッチの開発に取り組んでおり、まもなく利用可能になると予想されています。その間、一時的な軽減策として、SingleUseObjectProvider へのアクセス権限をレビューおよび制限してください。また、Keycloak ログを監視して、エントリの異常な削除やトークンの再利用の試行などの疑わしい活動がないか確認してください。脆弱性が悪用された場合でも、追加のセキュリティレイヤーを追加するために、多要素認証 (MFA) の実装をユーザーに推奨します。ソフトウェアを最新の状態に保ち、セキュリティのベストプラクティスに従うことは、Keycloak 環境を保護するために不可欠です。
Actualice Keycloak a la versión 26.2.15 o superior, o a la versión 26.4.14 o superior. Esta actualización corrige una vulnerabilidad que permite a un atacante eliminar entradas de uso único, lo que podría permitir la repetición de tokens de acción consumidos, como los enlaces de restablecimiento de contraseña, lo que podría conducir a un acceso no autorizado o al compromiso de la cuenta.
脆弱性分析と重要アラートをメールでお届けします。
Keycloak のコンポーネントで、パスワードリセットトークンなどのシングルユースデータを一時的に保存します。
攻撃者がユーザーの同意なしにユーザーのパスワードをリセットすることを可能にし、アカウントを侵害する可能性があります。
SingleUseObjectProvider へのアクセスを制限し、多要素認証 (MFA) を有効にすることは、一時的な対策です。
Red Hat はパッチの開発に取り組んでおり、まもなく利用可能になると予想されています。最新情報については、Red Hat の公式ソースを参照してください。
すぐにパスワードを変更し、Keycloak 管理者に連絡してインシデントを調査してください。
CVSS ベクトル
pom.xml ファイルをアップロードすると、影響の有無を即座にお知らせします。