CVE-2026-4634：Keycloak拒绝服务（DoS）漏洞，高危

Keycloak (Red Hat build 26.2) 中发现了一个拒绝服务 (DoS) 漏洞，已记录为 CVE-2026-4634。未经身份验证的攻击者可以通过向 OpenID Connect (OIDC) 令牌端点发送带有过长范围参数的精心制作的 POST 请求来利用此漏洞。范围参数的操作会导致服务器资源消耗增加和处理时间延长，最终可能导致 Keycloak 服务器中断。CVSS 分数为 7.5，表明存在重大风险。为了减轻此风险，必须升级到版本 26.5.7。

Organizations heavily reliant on Keycloak for authentication and authorization are at significant risk. This includes those deploying Keycloak in production environments, particularly those with limited security controls or monitoring in place. Shared hosting environments where multiple applications share a Keycloak instance are also at increased risk, as a compromised application could be used to launch a DoS attack against the Keycloak server.

• java / server:

# Monitor Keycloak logs for unusually long processing times related to OIDC token requests.
journalctl -u keycloak -f | grep "OIDC token request processing time"

• java / server:

# Check Keycloak server resource utilization (CPU, memory) for spikes.
top

• generic web:

# Use curl to test the OIDC token endpoint with a long scope parameter and monitor response times.
curl -X POST -d 'scope=A' -d 'grant_type=authorization_code' https://<keycloak_server>/auth/realms/<realm>/protocol/openid-connect/token

1. 2026-04-02Disclosure

   disclosure

2. 2026-05-07Patch

   patch

1. 已保留2026-03-23
2. 发布日期2026-04-02
3. 修改日期2026-04-04
4. EPSS 更新日期2026-04-10

建议的解决方案是将 Keycloak 升级到版本 26.5.7 或更高版本。此版本包含修复程序，可防止利用 CVE-2026-4634。作为临时措施，可以在 OIDC 令牌端点上实施对范围参数长度的严格限制。但是，此临时解决方案可能会影响需要长范围的合法应用程序的功能，并且不能替代升级。我们强烈建议升级到最新稳定版本，以确保 Keycloak 服务器的安全性和稳定性。