PT-2020-14916 · Red Hat · Keycloak

Publicado 2020-06-22 · Atualizado 2020-06-29 · CVE-2020-1727

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Keycloak anteriores à 9.0.2

Descrição

Foi identificada uma falha na validação de entrada das URLs de autorização que apontam para um servidor IDP, permitindo uma ampla variedade de caracteres. Esse problema permite que um agente mal-intencionado crie links diretos, introduzindo novos cenários de ataque nos clientes afetados.

Recomendações

Para versões anteriores à 9.0.2, atualize para a versão 9.0.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso de URLs de autorização que apontam para um servidor IDP para minimizar o risco de exploração.

Correção

RCE

Enumeração de Fraquezas

CWE-20

Identificadores relacionados

CVE-2020-1727

Produtos afetados

Keycloak

Referências · 3

• https://nvd.nist.gov/vuln/detail/CVE-2020-1727 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-1727 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2020-1727 · Aviso do Fabricante