Keycloak: keycloak: OpenID Connect (OpenID Connect) スコープパラメータの過剰な処理によるサービス拒否

Keycloak (Red Hat build 26.2) に、CVE-2026-4634 として分類されるサービス拒否 (DoS) の脆弱性が発見されました。認証されていない攻撃者は、OpenID Connect (OIDC) トークンエンドポイントに、過度に長いスコープパラメータを持つ特別に細工された POST リクエストを送信することで、この脆弱性を悪用できます。スコープパラメータの操作により、サーバーのリソース消費量が増加し、処理時間が長くなり、Keycloak サーバーが停止する可能性があります。CVSS スコアは 7.5 で、重大なリスクを示しています。このリスクを軽減するには、バージョン 26.5.7 にアップグレードすることが重要です。

Organizations heavily reliant on Keycloak for authentication and authorization are at significant risk. This includes those deploying Keycloak in production environments, particularly those with limited security controls or monitoring in place. Shared hosting environments where multiple applications share a Keycloak instance are also at increased risk, as a compromised application could be used to launch a DoS attack against the Keycloak server.

• java / server:

# Monitor Keycloak logs for unusually long processing times related to OIDC token requests.
journalctl -u keycloak -f | grep "OIDC token request processing time"

• java / server:

# Check Keycloak server resource utilization (CPU, memory) for spikes.
top

• generic web:

# Use curl to test the OIDC token endpoint with a long scope parameter and monitor response times.
curl -X POST -d 'scope=A' -d 'grant_type=authorization_code' https://<keycloak_server>/auth/realms/<realm>/protocol/openid-connect/token

1. 2026-04-02Disclosure

   disclosure

2. 2026-05-07Patch

   patch

1. 予約済み2026-03-23
2. 公開日2026-04-02
3. 更新日2026-04-04
4. EPSS 更新日2026-04-10

推奨される解決策は、Keycloak をバージョン 26.5.7 以降にアップグレードすることです。このバージョンには、CVE-2026-4634 の悪用を防ぐ修正が含まれています。一時的な対策として、OIDC トークンエンドポイントでスコープパラメータの長さに厳密な制限を実装できます。ただし、この一時的な解決策は、長いスコープを必要とする正当なアプリケーションの機能を損なう可能性があり、アップグレードの代わりにはなりません。Keycloak サーバーのセキュリティと安定性を確保するために、最新の安定バージョンにアップグレードすることを強くお勧めします。