Keycloak: UMA Policy Resource Injection maakt ongeautoriseerde cross-user permissie toekenningen mogelijk

Deze kwetsbaarheid stelt een aanvaller in staat om ongeautoriseerde toegang te krijgen tot resources die eigendom zijn van andere gebruikers binnen de Keycloak omgeving. Door UMA-beleidsvalidatie te omzeilen, kan de aanvaller een Requesting Party Token (RPT) verkrijgen en vervolgens gevoelige informatie inwinnen of ongeautoriseerde acties uitvoeren namens andere gebruikers. De impact kan variëren afhankelijk van de gevoeligheid van de resources die via Keycloak worden beheerd, maar kan leiden tot datalekken, ongeautoriseerde wijzigingen en verstoring van de dienstverlening. Het is vergelijkbaar met scenario's waarin beleidsregels worden gemanipuleerd om toegang te krijgen tot data die anders beschermd zou zijn.

Organizations heavily reliant on Keycloak for authentication and authorization, particularly those utilizing User-Managed Access (UMA) policies, are at significant risk. Environments with a large number of users granted the uma_protection role, or those with complex UMA policy configurations, should prioritize remediation. Shared hosting environments using Keycloak are also at increased risk due to the potential for cross-tenant exploitation.

• java / server:

# Check Keycloak version
java -jar keycloak.jar --version

• java / server:

# Monitor Keycloak logs for suspicious UMA policy creation requests
grep -i 'resource identifier' /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for unusual UMA policy endpoints
curl -I https://your-keycloak-instance/realms/your-realm/uma/policies

1. 2026-04-02Disclosure

   disclosure

1. Gereserveerd2026-03-23
2. Gepubliceerd2026-04-02
3. Gewijzigd2026-04-04
4. EPSS bijgewerkt2026-04-10

De primaire mitigatie voor CVE-2026-4636 is het upgraden van Keycloak Services naar versie 26.5.7 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de 'uma_protection' rol tot een minimale set van vertrouwde gebruikers. Implementeer strenge validatie van resource identifiers in uw Keycloak beleidsregels om te voorkomen dat kwaadwillenden identifiers van andere gebruikers kunnen opnemen. Monitor Keycloak logs op verdachte activiteit, zoals ongebruikelijke beleid creatie verzoeken. Er zijn geen specifieke WAF-regels of Sigma/YARA patronen beschikbaar, maar het monitoren van API calls gerelateerd aan UMA beleidsregels is aan te raden.