PT-2021-11420 · Red Hat · Keycloak

Publicado 2021-05-28 · Atualizado 2022-03-18 · CVE-2020-27826

Positive Technologies (AI Summary) · Pt

CVSS v2.0

4.9

Média

Vetor base

AV:N/AC:M/Au:S/C:P/I:P/A:N

**Nome do software vulnerável e versões afetadas:

Versões do Keycloak anteriores à 12.0.0

Descrição:

Foi identificada uma falha no Keycloak que permite atualizar os atributos de metadados do usuário por meio da API REST de contas. Essa falha permite que um invasor altere seu próprio atributo NameID para se passar pelo usuário administrador de qualquer aplicativo específico.

Recomendações:

Para versões anteriores à 12.0.0, atualize para a versão 12.0.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à API REST de conta para minimizar o risco de exploração. Evite usar o atributo NameID no endpoint da API afetado até que o problema seja resolvido.

Correção

Enumeração de Fraquezas

CWE-250

Identificadores relacionados

CVE-2020-27826

GHSA-M9CJ-V55F-8X26

RHSA-2020:5526

RHSA-2020:5527

RHSA-2020:5528

Produtos afetados

Keycloak

Referências · 7

• https://github.com/keycloak/keycloak/commit/dae4a3eaf26590b8d441b8e4bec3b700ee303b72 · Nota
• https://bugzilla.redhat.com/show_bug.cgi?id=1905089 · Aviso do Fabricante
• https://t.me/cvenotify/15184 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-m9cj-v55f-8x26 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2020-27826 · Nota de Segurança
• https://access.redhat.com/security/cve/cve-2020-27826 · Nota
• https://osv.dev/vulnerability/CVE-2020-27826 · Aviso do Fabricante