Steven Hawkins

**Nome do Software Vulnerável e Versões Afetadas** Keycloak (versões afetadas não especificadas) **Descrição** Existe uma questão de segurança no Keycloak onde habilitar o modo de depuração com a flag `--debug` vincula de forma insegura a porta do Java Debug Wire Protocol (JDWP) a todas as interfaces de rede (0.0.0.0). Isso expõe a porta de depuração à rede local, potencialmente permitindo que um ator malicioso no mesmo segmento de rede anexe um depurador remoto e execute código remotamente dentro da máquina virtual Java do Keycloak. O parâmetro vulnerável é `<port>`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Keycloak (versões afetadas não especificadas) **Descrição** Uma falha de segurança permite que usuários administradores acessem variáveis de ambiente sensíveis do servidor e propriedades do sistema por meio de URLs configuráveis pelo usuário. Ao configurar URLs de logout de backchannel ou URLs de administração, usuários administradores podem incluir placeholders como `${env.VARNAME}` ou `${PROPNAME}`. O servidor substitui esses placeholders pelos valores reais das variáveis de ambiente ou propriedades do sistema durante o processamento da URL. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do software vulnerável e versões afetadas: Versões do Keycloak anteriores à 26.0.2 Descrição: Foi identificada uma falha no Keycloak, na qual valores confidenciais em tempo de execução, como senhas, podem ser capturados durante o processo de compilação do Keycloak e incorporados como valores padrão no bytecode, levando à divulgação não intencional de informações. No Keycloak 26, dados confidenciais especificados diretamente em variáveis de ambiente durante o processo de compilação também são armazenados como valores padrão, tornando-os acessíveis durante a execução. O uso indireto de variáveis de ambiente para opções SPI e propriedades Quarkus também é vulnerável devido à expansão incondicional pela lógica do PropertyMapper, que captura dados confidenciais como valores padrão. Recomendações: Para versões do Keycloak anteriores à 26.0.2, atualize para a versão 26.0.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a variáveis de ambiente confidenciais e propriedades do Quarkus para minimizar o risco de exploração. Evite usar variáveis de ambiente para opções SPI e propriedades do Quarkus até que o problema seja resolvido.

**Name of the Vulnerable Software and Affected Versions** Teiid Java Database Connectivity (JDBC) socket versions prior to 5.3.0 **Description** The issue allows remote attackers to obtain login credentials via a man-in-the-middle (MITM) attack because login messages are not encrypted by default, contrary to documentation and specification. **Recommendations** For versions prior to 5.3.0, update to version 5.3.0 or later to resolve the issue.