Keycloak: keycloak: uma bypass de política permite que utilizadores autenticados obtenham acesso não autorizado a recursos pertencentes à vítima.

Uma vulnerabilidade crítica foi identificada na versão Red Hat Build do Keycloak 26.2 (CVE-2026-4636) com uma pontuação CVSS de 8.1. Esta falha permite que um usuário autenticado com o papel 'uma_protection' ignore a validação das políticas de Acesso Gerenciado pelo Usuário (UMA). O atacante pode incluir identificadores de recursos pertencentes a outros usuários em uma solicitação de criação de política, mesmo que o caminho da URL especifique um recurso pertencente ao atacante. Isso resulta na concessão de permissões não autorizadas em recursos pertencentes à vítima, permitindo que o atacante obtenha um Token de Parte Solicitante (RPT) e acesse informações confidenciais ou execute ações não autorizadas. A gravidade desta vulnerabilidade reside em seu potencial para comprometer a segurança dos dados e a integridade do sistema, especialmente em ambientes onde o UMA é usado para controlar o acesso a recursos sensíveis. A exploração bem-sucedida pode levar à divulgação de informações confidenciais, manipulação de dados e escalada de privilégios.

Organizations heavily reliant on Keycloak for authentication and authorization, particularly those utilizing User-Managed Access (UMA) policies, are at significant risk. Environments with a large number of users granted the uma_protection role, or those with complex UMA policy configurations, should prioritize remediation. Shared hosting environments using Keycloak are also at increased risk due to the potential for cross-tenant exploitation.

• java / server:

# Check Keycloak version
java -jar keycloak.jar --version

• java / server:

# Monitor Keycloak logs for suspicious UMA policy creation requests
grep -i 'resource identifier' /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for unusual UMA policy endpoints
curl -I https://your-keycloak-instance/realms/your-realm/uma/policies

1. 2026-04-02Disclosure

   disclosure

1. Reservado2026-03-23
2. Publicada2026-04-02
3. Modificada2026-04-04
4. EPSS atualizado2026-04-10

A mitigação recomendada para esta vulnerabilidade é atualizar para a versão Red Hat Build do Keycloak 26.5.7 ou superior. Esta versão inclui uma correção que aborda a falha de validação de políticas UMA. Recomenda-se aplicar esta atualização o mais rápido possível para minimizar o risco de exploração. Além disso, revise as configurações UMA existentes para garantir que as políticas estejam corretamente definidas e que os papéis de usuário sejam atribuídos de forma segura. Monitorar os logs do Keycloak em busca de atividades suspeitas também pode ajudar a detectar e responder a tentativas de exploração. A atualização deve ser realizada seguindo as melhores práticas de gerenciamento de alterações para evitar interrupções do serviço. Recomenda-se realizar testes exaustivos em um ambiente de teste antes de aplicar a atualização em produção.