Keycloak Server-Side Request Forgery via OIDC token endpoint manipulatie

Deze SSRF-kwetsbaarheid stelt een geauthenticeerde aanvaller in staat om HTTP-verzoeken te initiëren vanuit de Keycloak-server. Dit betekent dat de aanvaller, via Keycloak, interne netwerkbronnen kan benaderen die normaal gesproken niet toegankelijk zouden zijn. Het potentiële risico omvat het blootleggen van gevoelige informatie die zich achter interne firewalls bevindt, zoals interne API's, databases of andere services. Hoewel de CVSS score LOW is, kan de impact aanzienlijk zijn afhankelijk van de interne systemen die toegankelijk zijn via de SSRF. Een aanvaller kan bijvoorbeeld interne configuratiebestanden ophalen of toegang krijgen tot interne dashboards.

Organizations utilizing Keycloak for authentication and authorization, particularly those with complex internal network architectures or sensitive internal APIs, are at risk. Environments where the backchannel.logout.url is configured with the application.session.host placeholder are especially vulnerable.

• java / server:

# Check for suspicious outbound network connections from the Keycloak process
netstat -an | grep keycloak

• java / server:

# Monitor Keycloak logs for unusual HTTP requests or errors related to refresh token processing
grep -i "client_session_host" /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for the presence of the 'application.session.host' placeholder in the backchannel.logout.url configuration
# (Requires access to Keycloak configuration files or API)

1. 2026-03-26Disclosure

   disclosure

1. Gereserveerd2026-03-26
2. Gepubliceerd2026-03-26
3. Gewijzigd2026-04-13
4. EPSS bijgewerkt2026-04-02

De primaire mitigatie is het upgraden van Keycloak Services naar een beveiligde versie. De vendor adviseert om te upgraden naar een versie waar de kwetsbaarheid is verholpen. Indien een directe upgrade niet mogelijk is, kan het tijdelijk beperken van de backchannel.logout.url configuratie helpen. Controleer de configuratie van de application.session.host placeholder en zorg ervoor dat deze niet kan worden gemanipuleerd door gebruikers. Implementeer een Web Application Firewall (WAF) met regels die SSRF-aanvallen detecteren en blokkeren. Monitor Keycloak logs op ongebruikelijke HTTP-verzoeken die afkomstig zijn van de Keycloak-server.