PT-2020-2764 · Red Hat · Keycloak

Marian Rehak + 1 · Publicado 2020-01-07 · Atualizado 2022-05-24 · CVE-2019-14837

Positive Technologies (AI Summary) · Pt

CVSS v2.0

9.4

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:N

Nome do software vulnerável e versões afetadas

Versões do Keycloak anteriores à 8.0.0

Descrição

Uma falha no Keycloak permite que o proprietário de um domínio configure um servidor de e-mail e redefina a senha de um cliente, sabendo apenas o nome do cliente. Por exemplo, um cliente chamado “test” teria um endereço de e-mail como “[e-mail]”. Esse problema está relacionado ao uso de dados de registro predefinidos, que podem ser explorados por um invasor remoto para obter acesso não autorizado a informações protegidas.

Recomendações

Para versões anteriores à 8.0.0, atualize para a versão 8.0.0 ou posterior para resolver o problema.

Exploit

Correção

Using Hardcoded Credentials

Enumeração de Fraquezas

CWE-798

CWE-547

Identificadores relacionados

BDU:2020-02856

CVE-2019-14837

GHSA-CF8F-W2C5-P5JR

RHSA-2019:4040

RHSA-2019:4041

RHSA-2019:4042

Produtos afetados

Keycloak

Referências · 9

• 🔥 https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-14837 · Exploit
• https://github.com/keycloak/keycloak · Nota
• https://github.com/keycloak/keycloak/commit/9a7c1a91a59ab85e7f8889a505be04a71580777f · Correção
• https://issues.jboss.org/browse/KEYCLOAK-10780 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-14837 · Nota de Segurança
• https://access.redhat.com/security/cve/cve-2019-14837 · Nota
• https://bdu.fstec.ru/vul/2020-02856 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-cf8f-w2c5-p5jr · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2019-14837 · Aviso do Fabricante