Keycloak: keycloak: ポリシーバイパスにより、認証されたユーザーが被害者所有のリソースへの不正アクセスを取得可能

Red Hat Build of Keycloak 26.2 (CVE-2026-4636)において、重大な脆弱性が発見されました。CVSSスコアは8.1です。この脆弱性は、認証されたユーザーが'uma_protection'ロールを持っている場合に、User-Managed Access (UMA)ポリシーの検証を回避できることを意味します。攻撃者は、URLパスが攻撃者所有のリソースを指定していても、他のユーザーが所有するリソース識別子をポリシー作成リクエストに含めることができます。その結果、攻撃者は被害者のリソースに対する不正な権限を取得し、Requesting Party Token (RPT)を取得し、機密情報にアクセスしたり、不正な操作を実行したりする可能性があります。この脆弱性の重大な点は、UMAを使用して機密リソースへのアクセスを制御する環境において、データセキュリティとシステム整合性を損なう可能性があることです。悪用が成功すると、機密情報の開示、データの操作、および権限昇格につながる可能性があります。

Organizations heavily reliant on Keycloak for authentication and authorization, particularly those utilizing User-Managed Access (UMA) policies, are at significant risk. Environments with a large number of users granted the uma_protection role, or those with complex UMA policy configurations, should prioritize remediation. Shared hosting environments using Keycloak are also at increased risk due to the potential for cross-tenant exploitation.

• java / server:

# Check Keycloak version
java -jar keycloak.jar --version

• java / server:

# Monitor Keycloak logs for suspicious UMA policy creation requests
grep -i 'resource identifier' /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for unusual UMA policy endpoints
curl -I https://your-keycloak-instance/realms/your-realm/uma/policies

1. 2026-04-02Disclosure

   disclosure

1. 予約済み2026-03-23
2. 公開日2026-04-02
3. 更新日2026-04-04
4. EPSS 更新日2026-04-10

この脆弱性に対する推奨される軽減策は、Red Hat Build of Keycloak 26.5.7以降にアップグレードすることです。このバージョンには、UMAポリシー検証の脆弱性を修正する修正が含まれています。悪用のリスクを最小限に抑えるために、できるだけ早くこのアップデートを適用することをお勧めします。さらに、既存のUMA構成を確認して、ポリシーが正しく定義され、ユーザーロールが安全に割り当てられていることを確認する必要があります。Keycloakログを不審なアクティビティがないか監視することも、潜在的な悪用試行を検出および対応するのに役立ちます。サービスの中断を避けるために、変更管理のベストプラクティスに従ってアップデートを実行する必要があります。本番環境にアップデートを適用する前に、ステージング環境で徹底的なテストを行うことをお勧めします。