Keycloak: keycloak: negação de serviço via processamento excessivo de parâmetros de escopo openid connect

Uma vulnerabilidade de Negação de Serviço (DoS) foi identificada no Keycloak (versão Red Hat 26.2), catalogada como CVE-2026-4634. Um atacante não autenticado pode explorar essa falha enviando uma solicitação POST especialmente elaborada com um parâmetro de escopo excessivamente longo para o endpoint de token do OpenID Connect (OIDC). A manipulação do parâmetro 'scope' leva a um alto consumo de recursos do servidor e tempos de processamento prolongados, podendo resultar em uma interrupção do servidor Keycloak. A pontuação CVSS é de 7,5, indicando um risco significativo. É crucial atualizar para a versão 26.5.7 para mitigar esse risco.

Organizations heavily reliant on Keycloak for authentication and authorization are at significant risk. This includes those deploying Keycloak in production environments, particularly those with limited security controls or monitoring in place. Shared hosting environments where multiple applications share a Keycloak instance are also at increased risk, as a compromised application could be used to launch a DoS attack against the Keycloak server.

• java / server:

# Monitor Keycloak logs for unusually long processing times related to OIDC token requests.
journalctl -u keycloak -f | grep "OIDC token request processing time"

• java / server:

# Check Keycloak server resource utilization (CPU, memory) for spikes.
top

• generic web:

# Use curl to test the OIDC token endpoint with a long scope parameter and monitor response times.
curl -X POST -d 'scope=A' -d 'grant_type=authorization_code' https://<keycloak_server>/auth/realms/<realm>/protocol/openid-connect/token

1. 2026-04-02Disclosure

   disclosure

2. 2026-05-07Patch

   patch

1. Reservado2026-03-23
2. Publicada2026-04-02
3. Modificada2026-04-04
4. EPSS atualizado2026-04-10

A solução recomendada é atualizar para a versão 26.5.7 do Keycloak ou superior. Esta versão inclui uma correção que impede a exploração do CVE-2026-4634. Como medida temporária, você pode implementar um limite estrito no comprimento do parâmetro 'scope' no endpoint de token OIDC. No entanto, esta solução temporária pode afetar a funcionalidade de aplicativos legítimos que exigem escopos longos e não é um substituto para a atualização. Recomendamos fortemente a atualização para a versão estável mais recente para garantir a segurança e a estabilidade do servidor Keycloak.