Keycloak Server-Side Request Forgery via manipulação do endpoint de token OIDC

A exploração bem-sucedida da vulnerabilidade SSRF permite que um atacante autenticado realize requisições HTTP a partir do servidor Keycloak. Isso significa que o atacante pode potencialmente sondar redes internas e APIs internas, mesmo que não tenham acesso direto a elas. O impacto principal é a divulgação de informações sensíveis que podem estar acessíveis a partir da rede interna do servidor Keycloak. Um cenário de ataque envolve o atacante utilizando o servidor Keycloak como um proxy para acessar recursos internos que normalmente estariam protegidos por firewalls ou outras medidas de segurança. A vulnerabilidade é similar a outros ataques SSRF, onde o servidor é enganado para fazer requisições em nome do atacante, mas o contexto de rede do servidor é utilizado, ampliando o escopo do ataque.

Organizations utilizing Keycloak for authentication and authorization, particularly those with complex internal network architectures or sensitive internal APIs, are at risk. Environments where the backchannel.logout.url is configured with the application.session.host placeholder are especially vulnerable.

• java / server:

# Check for suspicious outbound network connections from the Keycloak process
netstat -an | grep keycloak

• java / server:

# Monitor Keycloak logs for unusual HTTP requests or errors related to refresh token processing
grep -i "client_session_host" /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for the presence of the 'application.session.host' placeholder in the backchannel.logout.url configuration
# (Requires access to Keycloak configuration files or API)

1. 2026-03-26Disclosure

   disclosure

1. Reservado2026-03-26
2. Publicada2026-03-26
3. Modificada2026-04-13
4. EPSS atualizado2026-04-02

A mitigação primária para a vulnerabilidade CVE-2026-4874 é atualizar o Keycloak Services para uma versão corrigida. A versão exata corrigida não foi fornecida, mas a atualização para a versão mais recente disponível é recomendada. Se a atualização imediata não for possível, uma medida temporária é desabilitar o uso do placeholder application.session.host no backchannel.logout.url. Em vez disso, configure um URL específico e estático. Monitore os logs do Keycloak para atividades suspeitas, especialmente requisições HTTP incomuns originadas do servidor. Após a atualização, confirme a correção verificando se as requisições de refresh token não podem mais ser manipuladas para realizar requisições SSRF.