CVE-2026-3872：Keycloak信息泄露漏洞，令牌窃取

在 Red Hat Keycloak 构建 26.2 中发现了一个漏洞 (CVE-2026-3872)。此问题允许控制同一 Web 服务器上另一个路径的攻击者绕过使用通配符的重定向统一资源标识符 (URI) 中允许的路径。攻击成功可能导致访问令牌被盗，从而导致信息泄露。根据 CVSS，此漏洞的严重程度评分为 7.3。为了减轻此风险，必须将 Keycloak 更新到已修补的版本。此漏洞专门针对 Keycloak 如何处理带有通配符的重定向，允许攻击者操纵目标路径并访问未经授权的资源。

Organizations using Keycloak for authentication and authorization, particularly those with complex redirect URI configurations or shared hosting environments, are at risk. Environments where multiple applications share the same web server hosting Keycloak are especially vulnerable, as an attacker could exploit a vulnerability in one application to compromise Keycloak's redirect URI validation.

• java / server:

# Check Keycloak logs for unusual redirect URI patterns
grep -i 'redirect_uri' /path/to/keycloak/logs/keycloak.log

• generic web:

# Check for exposed Keycloak endpoints with potentially vulnerable redirect URIs
curl -I https://your-keycloak-instance/realms/your-realm/protocol/openid-connect/auth?client_id=your-client-id&response_type=code&redirect_uri=http://attacker.com/evil

1. 2026-04-02Disclosure

   disclosure

1. 已保留2026-03-10
2. 发布日期2026-04-02
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-10

CVE-2026-3872 的主要缓解措施是将 Keycloak 更新到包含修复程序的版本。Red Hat 正在为该漏洞开发补丁。同时，建议限制对 Web 服务器的访问并仔细检查重定向配置。限制重定向允许的路径是一种重要的预防措施。此外，实施强大的访问控制并监控 Web 服务器活动可以帮助检测和响应潜在攻击。请参阅 Red Hat Keycloak 发布说明以获取有关更新和实施说明的具体信息。