CVE-2026-4282：Keycloak权限提升漏洞，伪造授权码

在 Keycloak (Red Hat 构建 26.2) 中发现了一个安全漏洞，被归类为 CVE-2026-4282，CVSS 评分达到 7.4。此漏洞存在于全局键值存储 SingleUseObjectProvider 中，该存储缺乏适当的类型和命名空间隔离。这使得未经身份验证的攻击者能够伪造授权码，可能导致创建具有管理员权限的访问令牌。成功利用此漏洞可能导致特权提升，从而危及 Keycloak 系统及其保护的资源的安全性。因此，尽快将 Keycloak 更新到已修复的版本以减轻此风险至关重要。

Organizations heavily reliant on Keycloak for authentication and authorization are at significant risk. This includes those using Keycloak in cloud environments, shared hosting setups, or with legacy integrations where strict access controls may not be enforced. Any deployment using Keycloak versions 26.2.15 and later is potentially vulnerable.

• java / server:

# Monitor Keycloak logs for suspicious authorization code requests or errors related to the SingleUseObjectProvider.
journalctl -u keycloak -f | grep -i "SingleUseObjectProvider"

• generic web:

# Check for unusual traffic patterns to Keycloak endpoints related to authorization code generation.
curl -v https://<keycloak_url>/auth/realms/master/protocol/openid-connect/auth

1. 2026-04-02Disclosure

   disclosure

1. 已保留2026-03-16
2. 发布日期2026-04-02
3. 修改日期2026-04-07
4. EPSS 更新日期2026-04-10

针对 CVE-2026-4282 的主要缓解措施是将 Keycloak 更新到包含修复程序的版本。Red Hat 正在为版本 26.2 及更高版本开发补丁。在此期间，建议实施额外的安全措施，例如限制对授权 API 的访问以及主动监控 Keycloak 日志以查找可疑活动。实施强大的安全策略，包括多因素身份验证 (MFA)，可以帮助减少成功利用的潜在影响。请参阅 Red Hat Keycloak 发布说明以获取有关更新和安全建议的具体信息。